BDU:2022-02721 (CVE-2021-41677)

Уязвимость информационной системы openSIS, связанная с непринятием мер по защите структуры запроса SQL, позволяющая нарушителю выполнить произвольные SQL-запросы

Опубликовано: 2022-04-28

Описание

Уязвимость информационной системы openSIS связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные SQL-запросы с помощью параметра /opensis/functions/GetStuListFnc.php &Grade= parameter

Затрагиваемое ПО и версии

openSIS (8.0)

Способ устранения

Организационные меры:
1. Ограничить использование программного средства
2. Использование аналогичного программного средства
3. Используйте функцию sqlSecurityFilter() перед назначением запросу $_REQUEST['grade']

Оценка CVSS

Балл	9.3 — критическая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2021-41677 https://github.com/OS4ED/openSIS-Classic/issues/202 https://vuldb.com/?id.187361

Проверьте безопасность своего сайта и почты → Полная проверка домена