🕵️ Open Ticket Request System bis 2.3.5/4.0.4/5.0.4 FAQ Package search SQL Injection

🕛 Zeit seit Veröffentlichung: 3107 Tage, 15 Stunden 29 Minuten
📆 Veröffentlicht am: 17.09.2016 um 02:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In Open Ticket Request System bis 2.3.5/4.0.4/5.0.4 wurde eine kritische Schwachstelle entdeckt. Betroffen ist eine unbekannte Funktion der Komponente FAQ Package. Mittels dem Manipulieren des Arguments search mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 17.09.2016 öffentlich gemacht. Die Verwundbarkeit wird als CVE-2016-5843 geführt. Die Ausnutzbarkeit ist als leicht bekannt. Der Angriff kann über das Netzwerk angegangen werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Ein Aktualisieren auf die Version 2.3.6, 4.0.5 oder 5.0.5 vermag dieses Problem zu lösen.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 6.0 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:X [?]
Zuverlässigkeit: Medium

CVSSv2

Base Score: 6.5 (CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.7 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: Medium

CPE

• cpe:/a:open_ticket_request_system:open_ticket_request_system:2.3.5
• cpe:/a:open_ticket_request_system:open_ticket_request_system:4.0.4
• cpe:/a:open_ticket_request_system:open_ticket_request_system:5.0.4

Exploiting

Klasse: SQL Injection
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Open Ticket Request System 2.3.6/4.0.5/5.0.5

Timeline

17.09.2016 Advisory veröffentlicht
18.09.2016 VulDB Eintrag erstellt
18.09.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-5843 (mitre.org) (nvd.nist.org) (cvedetails.com)

Eintrag

Erstellt: 18.09.2016
Eintrag: 71.2% komplett
...