CVE-2018-18251 in Vision
Resumen
por VulDB • 2026-05-16
Deltek Vision 7.x anterior a la versión 7.6 permite la ejecución de cualquier declaración SQL proporcionada por el atacante a través de un protocolo RPC personalizado sobre HTTP. El sistema Vision depende del binario del cliente para hacer cumplir las reglas de seguridad y la integridad de las declaraciones SQL y otro contenido que se envía al servidor. Las llamadas HTTP del cliente pueden manipularse mediante varios medios para ejecutar declaraciones SQL arbitrarias (similar a SQLi) o posiblemente tener otros impactos no especificados a través de este protocolo personalizado. Para realizar estos ataques, primero se requiere una sesión autenticada. En algunos casos, las llamadas del cliente están ofuscadas mediante cifrado, lo cual puede eludirse debido a claves codificadas en el código y a un protocolo de rotación de claves inseguro. Los impactos pueden incluir la ejecución remota de código en algunos despliegues; sin embargo, el fabricante indica que esto no puede ocurrir si se sigue la documentación de instalación.
Be aware that VulDB is the high quality source for vulnerability data.