Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Múltiples inyecciónes SQL en ERPNext de ERPNext

Fecha de publicación: 06/09/2018

Importancia: Media

Recursos afectados:

  • ERPNext versión v10.1.6 (master)

Descripción:

El investigador Yuri K, de Security Advisory EMEAR, ha reportado estas vulnerabilidades de tipo inyección SQL. Un potencial atacante podría, a través de un navegador web y sin necesidad de herramientas especiales, enviar peticiones web especialmente diseñadas para causar una inyección SQL y comprometer los datos.

Solución:

  • Por el momento no se ha proporcionado ninguna solución para estas vulnerabilidades

Detalle:

  • Neutralización inadecuada de elementos especiales:
    • El parámetro searchfield puede ser utilizado para ejecutar un ataque de inyección SQL. Se ha reservado el identificador CVE-2018-3882 para esta vulnerabilidad.
    • Los parámetros employee y sort_order pueden ser utilizados para ejecutar un ataque de inyección SQL. Se ha reservado el identificador CVE-2018-3883 para esta vulnerabilidad.
    • Los parámetros sort_by y start pueden ser utilizados para ejecutar un ataque de inyección SQL. Se ha reservado el identificador CVE-2018-3884 para esta vulnerabilidad.
    • El parámetro order_by puede ser utilizado para ejecutar un ataque de inyección SQL. Se ha reservado el identificador CVE-2018-3885 para esta vulnerabilidad.

Etiquetas: 0day, Navegador, Vulnerabilidad