Múltiples vulnerabilidades en SportsNET
Fecha de publicación 29/08/2024
Importancia
5 - Crítica
Recursos Afectados
SportsNET, versión 4.0.1.
Descripción
INCIBE ha coordinado la publicación de 9 vulnerabilidades de severidad crítica que afectan a la versión 4.0.1 de SportsNET y que han sido descubiertas por Asier Barranco de Telefónica Tech.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v3.1, vector CVSS y tipo de vulnerabilidad CWE para cada vulnerabilidad:
- desde CVE-2024-29723 hasta CVE-2024-29731: 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | CWE-89.
Solución
No hay solución reportada por el momento.
Detalle
Vulnerabilidades de inyección SQL en SportsNET que afectan a la versión 4.0.1. Estas vulnerabilidades podrían permitir a un atacante recuperar, actualizar y eliminar toda la información de la base de datos enviando una consulta SQL especialmente diseñada.
La lista de CVE asignados es la siguiente:
- CVE-2024-29723: https://XXXXXXX.saludydesafio.com/conexiones/ax/openTracExt/, parámetro categoria;
- CVE-2024-29724: https://XXXXXXX.saludydesafio.com/ax/registerSp/, parámetro idDesafio;
- CVE-2024-29725: https://XXXXXXX.saludydesafio.com/app/ax/sort_bloques/, parámetro list;
- CVE-2024-29726: https://XXXXXXX.saludydesafio.com/app/ax/setAsRead/, parámetro id;
- CVE-2024-29727: https://XXXXXXX.saludydesafio.com/app/ax/sendParticipationRemember/, parámetro send;
- CVE-2024-29728: https://XXXXXXX.saludydesafio.com/app/ax/inscribeUsuario/, parámetro idDesafio;
- CVE-2024-29729: https://XXXXXXX.saludydesafio.com/app/ax/generateShortURL/, parámetro url;
- CVE-2024-29730: https://XXXXXXX.saludydesafio.com/app/ax/consejoRandom/, parámetro idCat;
- CVE-2024-29731: https://XXXXXXX.saludydesafio.com/app/ax/checkBlindFields/, parámetros idChallenge e idEmpresa.
Listado de referencias
Etiquetas
