CVE-2018-7841criticalbajo ataqueCWE-89

CVE-2018-7841: fallo crítico en U.motion Builder software version 1.3.4

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 73%
de la publicación al arma0 días
Publicada en NVD22 may
1ª PoC14 may
CISA KEV+1059d
probabilidad de explotación
73%top 1% de las CVE
explotación observada
síCISA + VulnCheck
2 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-05-06

The impacted product is end-of-life and should be disconnected if still in use.

En resumen

U.motion Builder versión 1.3.4 permite que atacantes inyecten código SQL malicioso mediante caracteres inapropiados, pudiendo acceder ilegalmente a la base de datos o ejecutar comandos no autorizados en el sistema.

Detalle técnico

Vulnerabilidad de inyección SQL en U.motion Builder 1.3.4 permite que atacantes remotos ejecuten consultas SQL arbitrarias mediante entrada especialmente formateada que elude la validación de datos, posibilitando acceso no autorizado a la base de datos, exfiltración de datos o ejecución de código según permisos de la base de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A SQL Injection (CWE-89) vulnerability exists in U.motion Builder software version 1.3.4 which could cause unwanted code execution when an improper set of characters is entered.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
U.motion · U.motion Builder software version 1.3.4
PoCs públicas encontradas — 2
exploitdbwww.exploit-db.com/exploits/46846no verificadocve_referencepacketstormsecurity.com/files/152862/Schneider-Electric-U.Motion-Builder-1.3.4-Command-Injection.htmlno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
Referencias
http://packetstormsecurity.com/files/152862/Schneider-Electric-U.Motion-Builder-1.3.4-Command-Injection.htmlhttp://seclists.org/fulldisclosure/2019/May/26https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7841https://www.schneider-electric.com/ww/en/download/document/SEVD-2019-071-02