Ipswitch WhatsUp Gold < 16.5.0 WrFreeFormText.asp sUniqueID Parameter Blind SQLi（資格情報）

high Nessus プラグイン ID 97140

Language:

概要

リモートホストにインストールされているアプリケーションは、SQLインジェクションの脆弱性の影響を受けます。

説明

自己報告されたバージョン番号によると、リモートホストにインストールされているIpswitch WhatsUp Goldアプリケーションは、16.5.0より前のバージョンです。したがって、「sUniqueID」パラメーターと「find device」フィールドへのユーザー指定入力で不適切なサニタイズが発生するため、WrFreeFormText.aspファイル内のSQLインジェクションの脆弱性の影響を受けます。認証されたリモートの攻撃者は、これを悪用して、バックエンドデータベースでSQLクエリを注入または操作することで、任意のデータを操作または漏えいする可能性があります。

この問題はバージョン16.4.1でのみテストされましたが、それ以前のすべてのバージョンに影響すると考えられています。