CVE-2021-42258
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 74.4%
- CWE
- CWE-89
- KEV Durumu
- Evet
Yayım tarihi: 22 Ekim 2021 · CISA KEV son iyileştirme tarihi: 17 Kasım 2021
Etkilenen: bqe billquick_web_suite
BQE BillQuick Web Suite 2018'den 2021'e kadar 22.0.9.1 sürümünden önce, SQL enjeksiyonuna izin verir ve bu da October 2021'de fidye yazılımı kurulumu için kullanılan uzaktan kod çalıştırılmasına olanak tanır. SQL enjeksiyonu, örneğin txtID (kullanıcı adı olarak da bilinir) parametresini kullanabilir. Başarılı bir sömürme, xp_cmdshell aracılığıyla MSSQLSERVER$ olarak keyfi kod çalıştırma yeteneğini içerebilir.
Orijinal açıklama (İngilizce)
BQE BillQuick Web Suite 2018 through 2021 before 22.0.9.1 allows SQL injection for unauthenticated remote code execution, as exploited in the wild in October 2021 for ransomware installation. SQL injection can, for example, use the txtID (aka username) parameter. Successful exploitation can include the ability to execute arbitrary code as MSSQLSERVER$ via xp_cmdshell.
Referanslar
- https://www.huntress.com/blog/threat-advisory-hackers-are-exploiting-a-vulnerability-in-popular-billing-software-to-deploy-ransomware
- https://www.huntress.com/blog/threat-advisory-hackers-are-exploiting-a-vulnerability-in-popular-billing-software-to-deploy-ransomware
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-42258
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.