CVE-2021-24555
Yüksek
Açıklama
daac_delete_booking AJAX eylemine bağlanan daac_delete_booking_callback işlevi, SQL ifadesine uygun şekilde temizlenmeden, doğrulanmadan veya kaçış uygulanmadan aktarılan id POST parametresini alır ve bu da SQL enjeksiyonu sorununa yol açar. Ayrıca, AJAX eyleminde herhangi bir CSRF ve yetki kontrolü bulunmaması, bunu kimliği doğrulanmış herhangi bir kullanıcı için kullanılabilir hale getirir.
ÖnemYüksek
CVSS8.8
İstismar olasılığı—
ÜrünRoosty Diary-availability-calendar
Yayın23 Ağu 2021
İlk görülme23 Ağu 2021
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roosty diary-availability-calendar | v ≤ 1.0.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.