Vulnerabilidad en las peticiones HTTP en DSK DSKNet (CVE-2022-24690)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

18/07/2022

Última modificación:

27/07/2022

Descripción

Se ha detectado un problema en DSK DSKNet versiones 2.16.136.0 y 2.17.136.5. Una vulnerabilidad de inyección SQL en PresAbs.php permite a usuarios no autenticados contaminar los datos de la base de datos y extraer información confidencial por medio de peticiones HTTP diseñadas. El tipo de inyección SQL está basado en un booleano ciego. (Un atacante no autenticado puede detectar el endpoint al abusar de un problema de Control de Acceso Roto con más ataques de inyección SQL para recopilar todos los números de placa y códigos PIN de usuarios)

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno