Уязвимость внедрения SQL в конечной точке /ocsreports/index.php?function=admin_double из-за неправильной обработки значений в поле ID, включенном в параметр selected_grp_dupli[]. Аутентифицированный пользователь с привилегиями оператора может манипулировать этими значениями, чтобы изменять SQL-запросы, выполняемые приложением, и получать информацию, хранящуюся в базе данных.
Показать оригинальное описание (EN)
SQL injection vulnerability in the endpoint /ocsreports/index.php?function=admin_double due to improper processing of the values in the ID field included in the selected_grp_dupli[] parameter. An authenticated user with operator privileges can manipulate these values to alter the SQL queries executed by the application and retrieve information stored in the database.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0