SQL injection vulnerability in IBM Security Guardium Database Activity Monitor 8.2 before p310, 9.x through 9.5 before p700, and 10.x throug

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• ibm security guardium8.2 dahil
• ibm security guardium10.0
• ibm security guardium10.0.1
• ibm security guardium10.1.0
• ibm security guardium9.0
• ibm security guardium9.1
• ibm security guardium9.5

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2017-1253IBM Security Guardium 10.0 could allow a remote authenticated attacker to execute arbitrary commands on the system.
  40Planlayın
• CVE-2017-1269IBM Security Guardium 10.0 and 10.1 is vulnerable to SQL injection.
  40Planlayın
• CVE-2020-4690IBM Security Guardium 11.3 contains hard-coded credentials, such as a password or cryptographic key, which it uses for its own inbound authe
  39İzleyin
• CVE-2021-20418IBM Security Guardium 11.2 does not require that users should have strong passwords by default, which makes it easier for attackers to compr
  39İzleyin
• CVE-2021-20426IBM Security Guardium 11.2 contains hard-coded credentials, such as a password or cryptographic key, which it uses for its own inbound authe
  39İzleyin
• CVE-2020-4193IBM Security Guardium 11.1 uses an inadequate account lockout setting that could allow a remote attacker to brute force account credentials.
  39İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Sorgu metni, kullanıcı girdisiyle birleştirilerek oluşturuluyor. Veritabanı, verinin nerede bitip komutun nerede başladığını ayırt edemez.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const owner = req.query.owner;2const rows = await db.query(3  "SELECT * FROM files WHERE owner = '" + owner + "'"4);

1const owner = req.query.owner;2const rows = await db.query(3  "SELECT * FROM files WHERE owner = $1",4  [owner]5);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.