Fecha de publicaciĂłn: 09/11/2022
Importancia:
CrĂtica
Recursos afectados:
GIM versiĂłn v8.0.1 (r25269), (20220209).
DescripciĂłn:
INCIBE ha coordinado la publicaciĂłn de 2 vulnerabilidades en TCMAN GIM, que han sido descubiertas por Pablo Arias RodrĂguez y Jorge Alberto Palma Reyes, investigadores del CSIRT-CV Red Team.
A estas vulnerabilidades se les han asignado los cĂłdigos:
- CVE-2022-36276. Se ha calculado una puntuación base CVSS v3.1 de 9,9, siendo el cålculo del CVSS el siguiente: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L. El tipo de vulnerabilidad es CWE-89: neutralización incorrecta de los elementos especiales utilizados en un comando SQL (inyección SQL).
- CVE-2022-36277. Se ha calculado una puntuación base CVSS v3.1 de 6,5, siendo el cålculo del CVSS el siguiente: AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L. El tipo de vulnerabilidad es CWE-79: neutralización inadecuada de la entrada durante la generación de la pågina web (Cross-Site Scripting).
SoluciĂłn:
Estas vulnerabilidades han sido resueltas por TCMAN en GIM v8.0.1 (r7116), (20220504).
Detalle:
- CVE-2022-36276: TCMAN GIM v8.0.1 es vulnerable a una inyecciĂłn SQL a travĂ©s del parĂĄmetro ‘SqlWhere’ dentro de la funciĂłn ‘BuscarESM’. La explotaciĂłn de esta vulnerabilidad podrĂa permitir a un atacante remoto interactuar directamente con la base de datos.
- CVE-2022-36277: los parĂĄmetros ‘sReferencia’, ‘sDescripcion’, ‘txtCodigo’ y ‘txtDescripcion’, en los archivos ‘frmGestionStock.aspx’ y ‘frmEditServicio.aspx’ en TCMAN GIM v8.0.1, podrĂan permitir a un atacante realizar ataques XSS persistentes.
Si tienes mĂĄs informaciĂłn sobre este aviso, ponte en contacto con INCIBE, como se indica en la secciĂłn de ‘AsignaciĂłn y publicaciĂłn de CVE‘.
Etiquetas:
0day, ActualizaciĂłn, CNA, Vulnerabilidad
Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es Ășnicamente informativa y su veracidad estĂĄ supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cĂłmo servicio para facilitar a usuarios y empresas la obtenciĂłn de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.