CVE-2019-19113

SQL Injection w Newbee-Mall — atak przez parametr wyszukiwania

CVSS 9.8v3.1pub. 2019-11-18upd. 2024-11-21

W projekcie newbee-mall istnieje podatność typu SQL Injection w pliku NewBeeMallGoodsMapper.xml, umożliwiająca nieuwierzytelnionemu atakującemu manipulację zapytaniami do bazy danych. Ze względu na brak wymagań co do uwierzytelnienia i sieciowy wektor ataku, podatność jest oceniana jako krytyczna.

▸ Pokaż oryginał (EN)

main/resources/mapper/NewBeeMallGoodsMapper.xml in newbee-mall (aka New Bee) before 2019-10-23 allows search?goodsCategoryId=&keyword= SQL Injection.

🤖 Analiza AI

Jak działa

Podatność występuje w endpoincie wyszukiwania produktów, gdzie parametry 'goodsCategoryId' oraz 'keyword' są przekazywane bezpośrednio do zapytań SQL bez odpowiedniej walidacji i sanityzacji danych wejściowych. Atakujący może spreparować złośliwe żądanie HTTP do ścieżki 'search?goodsCategoryId=&keyword=' i wstrzyknąć dowolny kod SQL. Brak filtrowania danych wejściowych w pliku mapowania MyBatis pozwala na niekontrolowane wykonanie zapytań po stronie bazy danych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, a także potencjalnie modyfikować lub usuwać dane oraz — w zależności od konfiguracji serwera bazodanowego — wykonywać polecenia systemowe.

Mitygacja

Należy zaktualizować projekt do wersji wydanej po 2019-10-23, w której poprawiono obsługę parametrów zapytania. Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wprowadzenie walidacji i parametryzacji wszystkich zapytań SQL oraz ograniczenie uprawnień konta bazodanowego używanego przez aplikację.