Vulnerabilidad en DataEase (CVE-2023-37258)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

25/07/2023

Última modificación:

01/08/2023

Descripción

DataEase es una herramienta de análisis de visualización de datos de código abierto. Antes de la versión 1.18.9, DataEase tiene una vulnerabilidad de inyección SQL que puede eludir las listas negras. La vulnerabilidad se ha corregido en v1.18.9. No hay soluciones alternativas conocidas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto