Folio Spring Module Core حتى 1.1.5 Schema Name HibernateSchemaService.java dropSchema حقن SQL

التاريخالفارقربطjsonxmlCTI

CVSS الدرجة المؤقتة للميتا	سعر الإكسبلويت الحالي (≈)	درجة اهتمام CTI
6.9	$0-$5k	0.96

الملخصالمعلومات

تم أكتشاف ثغرة أمنية في Folio Spring Module Core حتى 1.1.5. وقد تم تصنيفها على أنها خطيرة. الثغرة الأمنية متواجدة في الدالة dropSchema من الملف tenant/src/main/java/org/folio/spring/tenant/hibernate/HibernateSchemaService.java من العنصر Schema Name Handler. تؤدي عملية التلاعب إلى حقن SQL. أسم الثغرة الأمنية هوCVE-2022-4963. لا يوجد استغلال متاح. من المستحسن ترقية المكون المتضرر.

التفاصيلالمعلومات

تم أكتشاف ثغرة أمنية في Folio Spring Module Core حتى 1.1.5. وقد تم تصنيفها على أنها خطيرة. الثغرة الأمنية متواجدة في الدالة dropSchema من الملف tenant/src/main/java/org/folio/spring/tenant/hibernate/HibernateSchemaService.java من العنصر Schema Name Handler. تؤدي عملية التلاعب إلى حقن SQL. عبر استخدام CWE في وصف المشكلة، سيتم الإشارة إلى CWE-89. تم الإعلان عن الثغرة 21/11/2022 تحت FOLIO-3645. يمكن عرض الاستشارة من هنا github.com.

أسم الثغرة الأمنية هوCVE-2022-4963. التفاصيل التقنية متوفرة. شعبية هذه الثغرة أقل من المتوسط. لا يوجد استغلال متاح. يحدد مشروع MITRE ATT&CK تقنية الهجوم على أنها T1505.

إذا كان هناك قيمة لـ غير معرفة، فسيتم التصريح بأنه غير معرفة.

الترقية إلى الإصدار 2.0.0 قادرة على حل هذه المشكلة. الإصدار المحدث جاهز للتنزيل على github.com. أسم الباتش التصحيحي هوd374a5f77e6b58e36f0e0e4419be18b95edcd7ff. يتوفر تصحيح الثغرة على github.com. من المستحسن ترقية المكون المتضرر. ورد في التنبيه الملاحظة التالية:

SELECT EXISTS now uses a prepared statement. PostgreSQL doesn't support a prepared statement for CREATE SCHEMA and DROP SCHEMA. Instead we validate the schema name before use to mitigate any SQL injection attack.

منتجالمعلومات

المجهز

Folio

الأسم

Spring Module Core

النسخة

الرخصة

مفتوح المصدر

CPE 2.3المعلومات

CPE 2.2المعلومات

CVSSv4المعلومات

VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

CVSSv3المعلومات

VulDB الدرجة الأساسية للميتا: 6.9
VulDB الدرجة المؤقتة للميتا: 6.9

VulDB الدرجة الأساسية: 5.5
VulDB الدرجة المؤقتة: 5.3
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 9.8
NVD متجه: 🔍

CNA الدرجة الأساسية: 5.5
CNA متجه (VulDB): 🔍

CVSSv2المعلومات

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

متجه	التعقيد	توثيق	السرية	الأمانة	التوفر
افتح	افتح	افتح	افتح	افتح	افتح
افتح	افتح	افتح	افتح	افتح	افتح
افتح	افتح	افتح	افتح	افتح	افتح

VulDB الدرجة الأساسية: 🔍
VulDB الدرجة المؤقتة: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 🔍

استغلالالمعلومات

الفئة: حقن SQL
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

ملموس: لا
محلي: لا
عن بُعد: نعم

التوفر: 🔍
الحالة: غير معرفة

EPSS Score: 🔍
EPSS Percentile: 🔍

تقدير السعر: 🔍
تقدير السعر الحالي: 🔍

0-Day	افتح	افتح	افتح	افتح
اليوم	افتح	افتح	افتح	افتح

استخبارات التهديدالمعلومات

الاهتمام: 🔍
الفاعلون النشطون: 🔍
مجموعات APT النشطة: 🔍

إجراءات مضادةالمعلومات

التوصية: ترقية
الحالة: 🔍

زمن الاستجابة: 🔍
زمن الهجوم الفوري: 🔍
زمن التعرض: 🔍

ترقية: Spring Module Core 2.0.0
تصحيح: d374a5f77e6b58e36f0e0e4419be18b95edcd7ff