CVE-2021-44427

SQL Injection w RosarioSIS umożliwiający nieautoryzowany dostęp do bazy danych

CVSS 9.8v3.1pub. 2021-11-29upd. 2024-11-21

Krytyczna podatność typu SQL Injection w systemie RosarioSIS pozwala nieuwierzytelnionemu atakującemu na wykonywanie dowolnych zapytań do bazy danych PostgreSQL. Ze względu na brak wymagań co do uwierzytelnienia i sieciowy charakter ataku, stanowi poważne zagrożenie dla instytucji korzystających z tego oprogramowania.

▸ Pokaż oryginał (EN)

An unauthenticated SQL Injection vulnerability in Rosario Student Information System (aka rosariosis) before 8.1.1 allows remote attackers to execute PostgreSQL statements (e.g., SELECT, INSERT, UPDATE, and DELETE) through /Side.php via the syear parameter.

🤖 Analiza AI

Jak działa

Podatność występuje w pliku /Side.php, gdzie parametr syear jest przekazywany do zapytania bazodanowego bez odpowiedniego oczyszczenia danych wejściowych. Atakujący może wstrzyknąć złośliwy kod SQL poprzez manipulację wartością parametru syear w żądaniu HTTP, bez konieczności posiadania jakichkolwiek uprawnień w systemie. Umożliwia to wykonywanie poleceń PostgreSQL takich jak SELECT, INSERT, UPDATE oraz DELETE bezpośrednio na bazie danych aplikacji.

Skutki

Atakujący może odczytywać, modyfikować oraz usuwać dane przechowywane w bazie danych systemu, w tym wrażliwe informacje o uczniach i pracownikach szkoły. Możliwe jest również wprowadzanie nieautoryzowanych zmian w danych systemu informacyjnego, co może prowadzić do naruszenia integralności i poufności danych.

Mitygacja

Należy niezwłocznie zaktualizować RosarioSIS do wersji 8.1.1 lub nowszej, która eliminuje podatność. Dodatkowo zaleca się ograniczenie dostępu do aplikacji z poziomu sieci publicznej oraz wdrożenie reguł firewall blokujących nieautoryzowany dostęp.