Headline

CVE-2022-38118: HGiga OAKlouds行動入口網 - SQL Injection

OAKlouds Portal website’s Meeting Room has insufficient validation for user input. A remote attacker with general user privilege can perform SQL-injection to access, modify, delete database, perform system operations and disrupt service.

2 years ago

CVE

Open in Source

#sql #vulnerability #web

:::

首頁
資安服務
台灣漏洞揭露平台 (TVN)
TVN (Taiwan Vulnerability Note) 漏洞公告

TVN ID

TVN-202208003

CVE ID

CVE-2022-38118

CVSS

8.8 (High)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

影響產品

OAKlouds行動入口網(OAKSv2、OAKSv3)會議室管理模組，受影響之套件版號：
OAKlouds-mol_metting-2.0 <= OAKlouds-mol_metting-2.0-163
OAKlouds-mol_metting-3.0 <= OAKlouds-mol_metting-3.0-163

問題描述

OAKlouds行動入口網之會議室系統功能參數未對使用者輸入進行驗證，遠端攻擊者取得一般使用者權限後，即可注入任意SQL語法讀取、修改及刪除資料庫。

解決方法

OAKlouds行動入口網(OAKSv2、OAKSv3)會議室管理模組，修正的套件版號：
OAKlouds-mol_metting-2.0 >= OAKlouds-mol_metting-2.0-164
OAKlouds-mol_metting-3.0 >= OAKlouds-mol_metting-3.0-164

漏洞通報者

Dong-Jie Chen (CHT Security)

公開日期

2022-08-30