Udnyttet sårbarhed
Ukorrekt neutralisering af specialtegn brugt i en SQL-kommando ('SQL injection')
FooSun DotNetCMS 1.0 og 2.0 indeholder en SQL injection-sårbarhed, der gør det muligt for uautoriserede angribere at manipulere MSSQL-forespørgsler gennem parameteren CityId. Angribere kan sende GET-anmodninger til /user/City_ajax.aspx med UNION SELECT-payloads i CityId, der er sammenkædet usaneret i sys_City-forespørgslen, for at udtrække databaseinformation. Udnyttelsesbevis blev først observeret af Shadowserver Foundation den 14-10-2023.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD