CVE-2017-14508
Təsvir
SugarCRM-in 7.7.2.3-dən əvvəlki versiyalarında, 7.8.x-in 7.8.2.2-dən əvvəlki versiyalarında və 7.9.x-in 7.9.2.0-dan əvvəlki versiyalarında (həmçinin Sugar Community Edition 6.5.26 versiyasında) bir problem aşkar edilmişdir. Documents və Emails modullarında autentifikasiya olunmuş istifadəçiyə SQL inyeksiyası etməyə imkan verə bilən bir neçə sahə müəyyən edilmişdir; bu, modules/Emails/DetailView.php ünvanındakı bean_id-nin sonuna geri slash (\) simvolunun əlavə edilməsi ilə nümayiş etdirilmişdir. Hücumçu təsirlənmiş sahələrə xüsusi hazırlanmış SQL sorğusu göndərməklə bu boşluqlardan istifadə edə bilər. Eksployt hücumçuya SQL verilənlər bazasını dəyişdirməyə imkan verə bilər. Belə eksploytların qarşısını almaq üçün lazımi SQL escaping əlavə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sugarcrm sugarcrm | v ≤ 7.7.2.2, 6.5.26, 7.8.0.0, 7.8.0.1, 7.8.1.0, 7.8.2.0, 7.8.2.1, 7.9.0.0, 7.9.0.1, 7.9.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.