CVE-2026-33615

SQL Injection w endpoincie setinfo produktów Mbconnectline

CVSS 9.1v3.1pub. 2026-04-02upd. 2026-04-16

Nieuwierzytelniony zdalny atakujący może przeprowadzić atak SQL Injection na endpoint setinfo w produktach Mbconnectline Mbconnect24 i Mymbconnect24. Podatność pozwala na całkowitą utratę integralności i dostępności systemu bez konieczności posiadania jakichkolwiek uprawnień.

▸ Pokaż oryginał (EN)

An unauthenticated remote attacker can exploit an unauthenticated SQL Injection vulnerability in the setinfo endpoint due to improper neutralization of special elements in a SQL UPDATE command. This can result in a total loss of integrity and availability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w poleceniu SQL UPDATE wykonywanym przez endpoint setinfo. Atakujący może spreparować złośliwe żądanie HTTP zawierające niebezpieczne sekwencje znaków, które zostaną osadzone bezpośrednio w zapytaniu SQL bez odpowiedniego oczyszczenia. Ponieważ endpoint nie wymaga uwierzytelnienia, exploit jest możliwy dla każdego, kto ma dostęp sieciowy do urządzenia.

Skutki

Atakujący może zmanipulować lub zniszczyć dane w bazie danych (utrata integralności) oraz doprowadzić do niedostępności systemu (utrata dostępności). Zgodnie z opisem podatność skutkuje całkowitą utratą integralności i dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://certvde.com/de/advisories/VDE-2026-030). Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu sieciowego do endpointu setinfo poprzez firewall lub segmentację sieci, tak aby urządzenia nie były dostępne z niezaufanych sieci.