CVE-2024-27112

SQL Injection w SO Planning — dostęp do bazy bez uwierzytelnienia

CVSS 9.3v4.0pub. 2024-09-11upd. 2024-09-18

W narzędziu SO Planning wykryto podatność SQL Injection umożliwiającą nieuwierzytelniony dostęp do bazy danych, gdy aktywna jest opcja widoku publicznego. Atakujący może wydobyć lub zmodyfikować dane przechowywane w bazie bez posiadania jakichkolwiek danych logowania.

▸ Pokaż oryginał (EN)

A unauthenticated SQL Injection has been found in the SO Planning tool that occurs when the public view setting is enabled. An attacker could use this vulnerability to gain access to the underlying database. The vulnerability has been remediated in version 1.52.02.

🤖 Analiza AI

Jak działa

Podatność występuje w funkcjonalności widoku publicznego (public view) aplikacji SO Planning. Gdy ta opcja jest włączona, nieuwierzytelniony użytkownik może przesyłać złośliwe zapytania zawierające osadzony kod SQL. Aplikacja nie filtruje poprawnie danych wejściowych, przez co wstrzyknięty kod SQL jest wykonywany bezpośrednio przez silnik bazy danych. Sklasyfikowana jako CWE-89 (SQL Injection), podatność nie wymaga żadnej interakcji ze strony ofiary ani specjalnych uprawnień.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do całej zawartości bazy danych aplikacji, w tym potencjalnie do danych wrażliwych, danych użytkowników i konfiguracji systemu. W zależności od uprawnień konta bazodanowego możliwa jest również modyfikacja lub usunięcie danych.

Mitygacja

Należy zaktualizować SO Planning do wersji 1.52.02 lub nowszej, w której podatność została naprawiona. Do czasu aktualizacji zaleca się wyłączenie opcji widoku publicznego (public view) w konfiguracji aplikacji.

Kogo dotyczy

SO Planning (Soplanning) w wersjach wcześniejszych niż 1.52.02, gdy włączona jest opcja widoku publicznego (public view).

Uwagi

Podatność została zgłoszona i udokumentowana przez DIVD CSIRT. Szczegóły dostępne pod adresem: https://csirt.divd.nl/CVE-2024-27112

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:U/V:C/RE:M/U:Red