جزئیات آسیب‌پذیری
CVE-2024-42327
Zabbix Zabbix
SQL injection in user.get API
CVSS 3.1
9.9بحرانی
شرح رسمی (انگلیسی)
A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is available for every user who has API access.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.9بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (Zabbix) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Zabbix | Zabbix | 6.0.0 ≤ v ≤ 6.0.31 | CVEProject cvelistV5 (CNA) |
| Zabbix | Zabbix | 6.0.0 ≤ v ≤ 6.0.31 | CISA ADP / Vulnrichment |
| Zabbix | Zabbix | 6.4.0 ≤ v ≤ 6.4.16 | CVEProject cvelistV5 (CNA) |
| Zabbix | Zabbix | 6.4.0 ≤ v ≤ 6.4.16 | CISA ADP / Vulnrichment |
| Zabbix | Zabbix | 7.0.0 ≤ v ≤ 7.0.1 | CVEProject cvelistV5 (CNA) |
| Zabbix | Zabbix | 7.0.0 ≤ v ≤ 7.0.1 | CISA ADP / Vulnrichment |
منابع و راهنماها
۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۳/۰۹/۰۷
- آخرین به‌روزرسانی
- ۱۴۰۳/۰۹/۱۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- Zabbix
پیش‌بینی بهره‌برداری (EPSS)
۷۹٫۱٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-89SQL Injection