CVE-2018-20061
Təsvir
ERPNext 10.x və 11.x versiyalarında, həmçinin 11.0.3-beta.29 versiyasına qədər olan versiyalarda SQL inyeksiyası problemi aşkar edilmişdir. Bu hücum yalnız sistemə daxil olmuş istifadəçi tərəfindən həyata keçirilə bilər; lakin bir çox ERPNext saytları veb üzərindən hesab yaradılmasına icazə verir. Hücumu həyata keçirmək üçün heç bir xüsusi imtiyaz tələb olunmur. Diqqətlə seçilmiş arqumentlərlə server tərəfli Python funksiyasını çağıran JavaScript funksiyasının işə salınması vasitəsilə, verilənlər bazasındakı hər hansı cədvəldən istənilən sütunları qaytarmaq üçün SQL sorğularının qurulmasına imkan verən SQL hücumu həyata keçirilə bilər. Bu problem /api/resource/Item?fields= URI-ləri, frappe.get_list və frappe.call ilə əlaqəlidir.
Necə düzəltmək olar
- frappe erpnext11.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| frappe erpnext | 10.0.0 ≤ v ≤ 10.1.76, 11.0.0 ≤ v < 11.0.3, 11.0.3 | 11.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.