CVE-2018-18251 in Vision
Résumé
par VulDB • 14/06/2026
Deltek Vision 7.x antérieur à la version 7.6 permet l'exécution de toute instruction SQL fournie par un attaquant via un protocole RPC personnalisé sur HTTP. Le système Vision s'appuie sur le binaire client pour faire respecter les règles de sécurité et l'intégrité des instructions SQL ainsi que d'autres contenus envoyés au serveur. Les appels HTTP du client peuvent être manipulés selon plusieurs moyens afin d'exécuter des instructions SQL arbitraires (similaires à une injection SQL, ou SQLi) ou potentiellement avoir un autre impact non spécifié via ce protocole personnalisé. Pour réaliser ces attaques, une session authentifiée est d'abord requise. Dans certains cas, les appels clients sont obscurcis par chiffrement, qui peut être contourné en raison de clés codées en dur et d'un protocole de rotation des clés insécurisé. Les impacts peuvent inclure l'exécution de code à distance (RCE) dans certaines configurations ; cependant, le fournisseur indique que cela ne peut pas se produire si la documentation d'installation est respectée.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.