Weaver E-cology SQL Injection via SyncUserInfo.jsp
63Vexday Risk Score
Priorize a correção. Ela exploração observada pelo VulnCheck e tem prova de conceito pública.
ssvc Actcvss 8.7epss 0.4%
da publicação à arma
Publicada no NVD18 de set.
VulnCheck28 de jul.
probabilidade de exploração
0.4%top 70% das CVEs
exploração observada
simVulnCheck
2 exploit(s) público(s)
Weaver E-cology contains an unauthenticated SQL injection vulnerability that allows remote attackers to execute arbitrary SQL queries by submitting malicious input through the userIdentifiers GET parameter in the mobile plugin endpoint. Attackers can bypass space-based filter controls by wrapping SQL keywords in parentheses to perform UNION-based injection and extract sensitive data including administrator credential hashes from the database. Exploitation evidence was first observed by the Shadowserver Foundation on 2022-07-28.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Weaver Network Co., Ltd. · E-cologyPoCs públicas encontradas — 2
cve_referencecn-sec.com/archives/135359.htmlnão verificadocve_referencegithub.com/chaitin/xray/blob/master/pocs/ecology-syncuserinfo-sqli.ymlnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.