CVE-2006-0897
Açıklama
VCS Virtual Program Management Intranet (VPMi) Enterprise 3.3 sürümündeki bir SQL injection zafiyeti, uzaktaki saldırganların Service_Requests.asp dosyasına ait UpdateID0 parametresi aracılığıyla rastgele SQL komutları yürütmesine olanak tanır. NOT: bu bilginin kaynağı bilinmemektedir; ayrıntılar yalnızca üçüncü taraf bilgilerden elde edilmiştir. NOT: satıcı, "[bizim] JavaScript'e yerleştirilen anahtarlar ve Oturum Durumu'nun (sunucu tarafı) bir kombinasyonunu kullanan, tanımladığınız SQL injection türüne karşı koruma sağlayan perde arkasında karmaşık bir durum yönetim sistemimiz bulunmaktadır. Birçok durumu test ettik ve bunun bir sorun olduğunu tespit etmedik" diyerek bu konuya itiraz etmiştir. Daha ileri araştırmalar, orijinal araştırmacının geçersiz alan değerleri kullanarak hataları tetiklemiş olabileceğini göstermektedir ki bu durum SQL injection kanıtı değildir; ancak satıcı, orijinal araştırmacıdan bir yanıt almamıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| virtual_communication_services vpmi_enterprise | 3.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.