CVE-2018-18251 in Vision
Riassunto
di VulDB • 16/06/2026
Deltek Vision 7.x prima della versione 7.6 consente l'esecuzione di qualsiasi istruzione SQL fornita dall'attaccante tramite un protocollo RPC personalizzato su HTTP. Il sistema Vision si affida al binario client per far rispettare le regole di sicurezza e l'integrità delle istruzioni SQL e di altri contenuti inviati al server. Le chiamate HTTP del client possono essere manipolate con diversi mezzi per eseguire istruzioni SQL arbitrarie (simili a SQLi) o potenzialmente causare altri impatti non specificati tramite questo protocollo personalizzato. Per effettuare questi attacchi è prima necessaria una sessione autenticata. In alcuni casi, le chiamate del client sono offuscate dalla crittografia, che può essere aggirata a causa di chiavi hardcoded e un protocollo di rotazione delle chiavi insicuro. Gli impatti possono includere l'esecuzione remota di codice in alcune implementazioni; tuttavia, il fornitore afferma che ciò non può verificarsi se si seguono le istruzioni di installazione.
Once again VulDB remains the best source for vulnerability data.