BigBlueButton — это виртуальный класс с открытым исходным кодом. До версии 3.0.23 BigBlueButton разрешал модераторам, прошедшим проверку подлинности, внедрять SQL-код через значения MeetingId и UserId, используемые обновитьBreakoutRoomsVisibleForUsers в akka-bbb-apps/src/main/scala/org/bigbluebutton/core/db/BreakoutRoomUserDAO.scala. Метод интерполировал эти значения в запросы видимости комнаты обсуждения, позволяя выполнять произвольный SQL-код в базе данных приложения.
Эта проблема исправлена в версии 3.0.23.
Показать оригинальное описание (EN)
BigBlueButton is an open-source virtual classroom. Prior to 3.0.23, BigBlueButton allowed authenticated moderators to inject SQL through the meetingId and userId values used by refreshBreakoutRoomsVisibleForUsers in akka-bbb-apps/src/main/scala/org/bigbluebutton/core/db/BreakoutRoomUserDAO.scala. The method interpolated those values into breakout room visibility queries, allowing arbitrary SQL execution against the application database. This issue is fixed in version 3.0.23.
Характеристики атаки
Последствия
Строка CVSS v3.1