Vulnerabilidad en EBM Technologies Uniweb/SoliPACS WebServer (CVE-2024-26262)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

15/02/2024

Última modificación:

23/01/2025

Descripción

La funcionalidad de consulta de EBM Technologies Uniweb/SoliPACS WebServer carece de restricciones adecuadas de entrada del usuario, lo que permite a atacantes remotos autenticados como usuarios normales inyectar comandos SQL para leer, modificar y eliminar registros de bases de datos, así como ejecutar comandos del sistema. Los atacantes pueden incluso aprovechar el privilegio dbo en la base de datos para escalar privilegios, elevando sus privilegios a administrador.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto