CVE-2022-41223mediumbajo ataqueransomwareCWE-94

CVE-2022-41223

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear MiVoice Connect

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Attendcvss 6.8epss 11%
de la publicación al arma
Publicada en NVD22 nov
CISA KEV+91d
Acción exigida por CISAplazo federal: 2023-03-14

Apply updates per vendor instructions.

En resumen

Un usuario autenticado puede inyectar código malicioso en la base de datos de MiVoice Connect enviando datos especialmente elaborados. El problema ocurre porque el componente de base de datos no valida correctamente el tipo de dato almacenado.

Detalle técnico

Vulnerabilidad de inyección de código (CWE-94) en el componente Director database de MiVoice Connect (versiones ≤19.3/22.22.6100.0) permite que atacantes autenticados inyecten código arbitrario mediante tipos de datos de base de datos con restricciones insuficientes. El ataque requiere credenciales de autenticación válidas y explota validación inadecuada en operaciones de base de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The Director database component of MiVoice Connect through 19.3 (22.22.6100.0) could allow an authenticated attacker to conduct a code-injection attack via crafted data due to insufficient restrictions on the database data type.
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a