CVE-2017-12276

Cisco Prime Collaboration Provisioning uygulamasının SQL veritabanı arayüzü için kullanılan web framework kodu üzerindeki bir güvenlik açığı; kimliği doğrulanmış, uzak bir saldırganın rastgele SQL sorguları yürütmesine (diğer adıyla SQL Injection) ve böylece uygulamanın gizliliğini ve bütünlüğünü etkilemesine olanak tanıyabilir. Saldırgan, SQL veritabanından bilgi okuyabilir veya buraya bilgi yazabilir. Güvenlik açığı, SQL sorguları içindeki kullanıcı tarafından sağlanan girdilerin uygun şekilde doğrulanmamasından kaynaklanmaktadır. Bir saldırgan, etkilenen uygulamaya kötü amaçlı SQL ifadeleri içeren özel olarak hazırlanmış URL'ler göndererek bu güvenlik açığını istismar edebilir. Bir istismar, saldırganın belirli değerlerin varlığını belirlemesine ve SQL veritabanına kötü amaçlı girdi yazmasına izin verebilir. Saldırganın geçerli kullanıcı kimlik bilgilerine sahip olması gerekir. Bu güvenlik açığı, 12.3 öncesindeki Cisco Prime Collaboration Provisioning Yazılım Sürümlerini etkilemektedir. Cisco Bug ID'leri: CSCvf47935.