CVE-2022-2422

SQL injection w Feathers.js poprzez brak walidacji danych wejściowych

CVSS 10.0v3.1pub. 2022-10-26upd. 2024-11-21

Podatność w bibliotece Feathers.js umożliwia przeprowadzenie ataku SQL injection na bazę danych back-endu, gdy używany jest pakiet feathers-sequelize. Ocena CVSS 10.0 oznacza maksymalne ryzyko — atakujący bez uwierzytelnienia może w pełni skompromitować system.

▸ Pokaż oryginał (EN)

Due to improper input validation in the Feathers js library, it is possible to perform a SQL injection attack on the back-end database, in case the feathers-sequelize package is used.

🤖 Analiza AI

Jak działa

Biblioteka Feathers.js nie przeprowadza prawidłowej walidacji danych wejściowych dostarczanych przez użytkownika. Gdy aplikacja korzysta z pakietu feathers-sequelize jako warstwy dostępu do bazy danych, nieoczyszczone dane trafiają bezpośrednio do zapytań SQL. Atakujący może wstrzyknąć złośliwy kod SQL, który zostanie wykonany przez silnik bazy danych po stronie serwera.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych, modyfikować lub usuwać zawartość bazy danych, a w określonych konfiguracjach przejąć pełną kontrolę nad systemem back-endowym. Wektor CVSS wskazuje na pełne naruszenie poufności, integralności i dostępności zasobów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://csirt.divd.nl/CVE-2022-2422 oraz https://csirt.divd.nl/DIVD-2022-00020). Dodatkowo zaleca się weryfikację i wzmocnienie walidacji danych wejściowych po stronie aplikacji oraz stosowanie parametryzowanych zapytań SQL.

Kogo dotyczy

Aplikacje wykorzystujące bibliotekę Feathers.js w połączeniu z pakietem feathers-sequelize; konkretne wersje wskazane w referencjach producenta (csirt.divd.nl/DIVD-2022-00020)