CVE-2022-30765

SQL Injection w tabeli użytkowników Calibre-Web (przed wersją 0.6.18)

CVSS 9.8v3.1pub. 2022-05-16upd. 2024-11-21

Calibre-Web w wersjach przed 0.6.18 jest podatne na atak SQL Injection w obszarze tabeli użytkowników. Podatność ma krytyczny poziom zagrożenia (CVSS 9.8) i może być wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Calibre-Web before 0.6.18 allows user table SQL Injection.

🤖 Analiza AI

Jak działa

Atak polega na wstrzyknięciu złośliwego kodu SQL (SQL Injection, CWE-89) do zapytań obsługujących tabelę użytkowników aplikacji. Nieodpowiednia walidacja lub brak parametryzacji danych wejściowych pozwala atakującemu na manipulowanie zapytaniami kierowanymi do bazy danych. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji po stronie użytkownika, co znacznie obniża próg wejścia dla potencjalnego napastnika.

Skutki

Atakujący może uzyskać nieuprawniony dostęp do danych przechowywanych w bazie (w tym danych użytkowników), zmodyfikować lub usunąć dane, a w sprzyjających warunkach przejąć kontrolę nad aplikacją lub systemem, na którym działa Calibre-Web.

Mitygacja

Należy zaktualizować Calibre-Web do wersji 0.6.18 lub nowszej. Patch dostępny jest w oficjalnym repozytorium projektu: https://github.com/janeczku/calibre-web/releases/tag/0.6.18