Group-Office SQL befecskendezéses sérülékenység


2012. szeptember 5. 12:49

CH azonosító

CH-7519

Angol cím

Group-Office "sort" SQL Injection Vulnerability

Felfedezés dátuma

2012.09.03.

Súlyosság

Alacsony

Érintett rendszerek

Group-Office
Intermesh

Érintett verziók

Group-Office 4.x

Összefoglaló

A Group-Office egy sérülékenységét jelentették, amit kihasználva a rosszindulatú felhasználók SQL befecskendezéses (SQL injection) támadást indíthatnak.

Leírás

A modules/calendar/json.php részére a “sort” paraméteren keresztül átadott bemeneti adat nem megfelelően van megtisztítva, mielőtt SQL lekérdezésben felhasználásra kerül. Ezt kihasználva módosítani lehet az SQL lekérdezéseket tetszőleges SQL kód befecskendezésével.

A sérülékenységet a 4.0.89 verzióban jelentették, de más kiadások is érintettek lehetnek.

Megoldás

Frissítsen a legújabb verzióra

Támadás típusa

Input manipulation (Bemenet módosítás)

Hatás

Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

SECUNIA 49162
Egyéb referencia: www.reactionpenetrationtesting.co.uk

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-11198 – Juniper Networks Security Director Policy Enforcer sérülékenysége
CVE-2025-59975 – Juniper Networks Junos Space sérülékenysége
CVE-2025-59964 – Juniper Networks Junos OS sérülékenysége
CVE-2025-60004 – Juniper Networks Junos OS and Junos OS Evolved sérülékenysége
CVE-2025-59968 – Juniper Networks Junos Space Security Director sérülékenysége
CVE-2010-3765 – Mozilla Multiple Products RCE sérülékenysége
CVE-2013-3918 – Microsoft Windows Out-of-Bounds Write sérülékenysége
CVE-2025-27915 – Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting sérülékenysége
CVE-2010-3962 – Microsoft Internet Explorer Uninitialized Memory Corruption sérülékenysége
Tovább a sérülékenységekhez »