CVE-2018-18251 in Vision
Tóm tắt
Bởi VulDB • 14/06/2026
Deltek Vision 7.x trước phiên bản 7.6 cho phép thực thi bất kỳ câu lệnh SQL nào do kẻ tấn công cung cấp thông qua giao thức RPC tùy chỉnh trên HTTP. Hệ thống Vision dựa vào binary của client để áp dụng các quy tắc bảo mật và đảm bảo tính toàn vẹn của các câu lệnh SQL cũng như nội dung khác được gửi đến máy chủ. Các yêu cầu HTTP từ phía client có thể bị thao túng bằng nhiều cách khác nhau nhằm thực thi các câu lệnh SQL tùy ý (tương tự như SQLi) hoặc gây ra các tác động không xác định khác thông qua giao thức tùy chỉnh này. Để tiến hành các cuộc tấn công, trước tiên cần phải có một phiên làm việc đã được xác thực. Trong một số trường hợp, các yêu cầu từ client bị che giấu bằng mã hóa, tuy nhiên điều này có thể bị vượt qua do sử dụng các khóa cứng (hard-coded keys) và giao thức xoay vòng khóa không an toàn. Các tác động tiềm ẩn bao gồm cả khả năng thực thi code từ xa trong một số triển khai; tuy nhiên, nhà cung cấp tuyên bố rằng tình huống này không xảy ra khi tài liệu hướng dẫn cài đặt được tuân thủ đúng cách.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.