CVE-2018-18251

7.6 versiyasından əvvəlki Deltek Vision 7.x fərdi RPC over HTTP protokolu vasitəsilə hücumçunun təqdim etdiyi hər hansı SQL ifadəsinin icrasına şərait yaradır. Vision sistemi, təhlükəsizlik qaydalarının tətbiqi və serverə göndərilən SQL ifadələri ilə digər məzmunun bütövlüyünün təmin edilməsi üçün klient binari faylına etibar edir. Klient HTTP çağırışları müxtəlif üsullarla manipulyasiya edilərək ixtiyari SQL ifadələrinin icra olunmasına (SQLi-yə bənzər) və ya bu fərdi protokol vasitəsilə digər qeyri-müəyyən təsirlərə səbəb ola bilər. Bu hücumları həyata keçirmək üçün əvvəlcə autentifikasiya olunmuş sessiya tələb olunur. Bəzi hallarda klient çağırışları şifrələmə ilə gizlədilir, lakin sabit kodlaşdırılmış açarlar və təhlükəsiz olmayan açar rotasiyası protokolu səbəbindən bu tədbirlərdən yan keçmək mümkündür. Təsirlər bəzi quraşdırmalarda uzaqdan kodun icrasını ehtiva edə bilər; lakin vendor bildirir ki, quraşdırma sənədlərinə əməl edildikdə bu baş verməz.