CVE-2018-18251 in Vision
요약
\~에 의해 VulDB • 2026. 06. 14.
Deltek Vision 7.x(7.6 미만 버전)은 사용자 정의 RPC over HTTP 프로토콜을 통해 공격자가 제공한 모든 SQL 문장을 실행할 수 있습니다. Vision 시스템은 보안 규칙과 서버로 전송되는 SQL 문장 및 기타 콘텐츠의 무결성을 강제하기 위해 클라이언트 바이너리에 의존합니다. 여러 가지 방법을 통해 클라이언트의 HTTP 호출을 조작하여 임의의 SQL 문장을 실행(SQLi와 유사)하거나, 이 사용자 정의 프로토콜을 통해 미정의 다른 영향을 초래할 수 있습니다. 이러한 공격을 수행하려면 먼저 인증된 세션이 필요합니다. 경우에 따라 클라이언트 호출은 암호화로 인해 난독화되지만, 하드코딩된 키와 보안상 취약한 키 회전 프로토콜로 인해 이를 우회할 수 있습니다. 영향에는 일부 배포 환경에서 원격 코드 실행(RCE)이 포함될 수 있지만, 벤더는 설치 문서를 준수하면 이러한 상황이 발생하지 않는다고 명시합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.