qdPM 9.1 содержит уязвимость внедрения SQL, которая позволяет неаутентифицированным злоумышленникам извлекать информацию из базы данных путем внедрения кода SQL через параметры filter_by. Злоумышленники могут отправлять вредоносные запросы POST к конечной точке timeReport со специально созданными параметрами filter_by[CommentCreatedFrom] и filter_by[CommentCreatedTo] для выполнения произвольных SQL-запросов и получения конфиденциальных данных.
Показать оригинальное описание (EN)
qdPM 9.1 contains an SQL injection vulnerability that allows unauthenticated attackers to extract database information by injecting SQL code through filter_by parameters. Attackers can submit malicious POST requests to the timeReport endpoint with crafted filter_by[CommentCreatedFrom] and filter_by[CommentCreatedTo] parameters to execute arbitrary SQL queries and retrieve sensitive data.
Характеристики атаки
Последствия
Строка CVSS v4.0