جزئیات آسیب‌پذیری
CVE-2022-4984
Qingdao Esoft Tianchuang Network Technology ZenTao BizQingdao Esoft Tianchuang Network Technology ZenTao MaxQingdao Esoft Tianchuang Network Technology ZenTao Open
ZenTao Biz < 6.5, Max < 3.0, & Open Source Edition 16.5/16.5beta1 SQL Injection via user-login.html
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
ZenTao Biz < 6.5, ZenTao Max < 3.0, ZenTao Open Source Edition < 16.5, and ZenTao Open Source Edition < 16.5.beta1 contain an SQL injection vulnerability in the login functionality. The application does not properly validate the account parameter on /zentao/user-login.html before using it in a database query. A remote unauthenticated attacker can exploit this issue to execute crafted SQL expressions and retrieve sensitive information from the backend database, including user and application data. Exploitation evidence was observed by the Shadowserver Foundation on 2025-02-07 UTC.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Qingdao Esoft Tianchuang Network Technology Co., Ltd. | ZenTao Biz | v < 6.5 | CVEProject cvelistV5 (CNA) |
| Qingdao Esoft Tianchuang Network Technology Co., Ltd. | ZenTao Max | v < 3.0 | CVEProject cvelistV5 (CNA) |
| Qingdao Esoft Tianchuang Network Technology Co., Ltd. | ZenTao Open Source Edition | v < 16.5 | CVEProject cvelistV5 (CNA) |
| Qingdao Esoft Tianchuang Network Technology Co., Ltd. | ZenTao Open Source Edition | v < 16.5.beta1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://www.cnvd.org.cn/flaw/show/CNVD-2022-42853 government-resourcevdb-entry
- https://www.zentao.pm/download/zentao-community-edition-release-65-1171.html patch
- https://www.zentao.pm/download/zentao-community-edition-release-30-1172.html patch
- https://www.zentao.pm/download/zentao-community-edition-release-165-1170.html patch
- https://www.zentao.pm/download/zentao-community-edition-release-1651-1143.html patch
- https://www.vulncheck.com/advisories/zentao-biz-max-and-open-source-edition-sqli-via-user-login third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۸/۲۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۲/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۸٪
احتمال بهره‌برداری در ۳۰ روز
۴۱٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')