Zoho ManageEngine ADAudit Plus w wersjach do 7250 włącznie zawiera podatność SQL Injection w funkcji eksportu raportów. Podatność posiada ocenę CVSS 9.8 (CRITICAL) i może zostać wykorzystana zdalnie bez uwierzytelnienia.
▸ Pokaż oryginał (EN)
Zoho ManageEngine ADAudit Plus through 7250 is vulnerable to SQL Injection in the report export option.
Atakujący może wstrzyknąć złośliwy kod SQL poprzez parametry związane z funkcją eksportu raportów w aplikacji. Ze względu na brak walidacji i odpowiedniej parametryzacji zapytań, wprowadzone dane trafiają bezpośrednio do silnika bazy danych. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika, co czyni podatność szczególnie niebezpieczną.
Skuteczne wykorzystanie podatności może pozwolić atakującemu na nieautoryzowany odczyt, modyfikację lub usunięcie danych z bazy danych aplikacji, a w zależności od konfiguracji środowiska również na wykonanie poleceń na poziomie serwera bazy danych.
Należy zaktualizować Zoho ManageEngine ADAudit Plus do wersji 7271 lub nowszej, w której producent wprowadził poprawki opisane pod adresem: https://www.manageengine.com/products/active-directory-audit/sqlfix-7271.html
Zoho ManageEngine ADAudit Plus w wersjach do 7250 włącznie.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HZohocorp Manageengine Adaudit Plus
APPZohocorp7.2< 7.2
Powiązane podatności
Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code exec...
SQL Injection w Zoho ManageEngine ADAudit Plus — funkcja raportów agregowanych
Cewolf in Zoho ManageEngine ADAudit Plus before 7060 is vulnerable to an unauthenticated XXE attack that leads...
Zoho ManageEngine ADAudit Plus before 7006 allows attackers to write to, and execute, arbitrary files.
An issue was discovered in Zoho ManageEngine Exchange Reporter Plus before build number 5510, AD360 before bui...