Уязвимость внедрения SQL в параметре del_check конечной точки /ocsreports/?function=save_query_list. Ввод, предоставленный аутентифицированным пользователем с привилегиями оператора, включается в запрос SQL без надлежащей параметризации или проверки, что позволяет манипулировать запросом и извлекать информацию из базы данных с использованием методов внедрения SQL.
Показать оригинальное описание (EN)
SQL injection vulnerability in the del_check parameter of the /ocsreports/?function=save_query_list endpoint. Input provided by an authenticated user with operator privileges is incorporated into an SQL query without proper parameterisation or validation, allowing the query to be manipulated and information to be extracted from the database using SQL injection techniques.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0