Vulnerabilidad de inyección SQL en ConacWin de Setelsa Security

Vulnerabilidad de inyección SQL en ConacWin de Setelsa Security
Mar, 01/08/2023 – 10:17

Recursos Afectados

ConacWin, versión 3.7.1.2.

Descripción

INCIBE ha coordinado la publicación de una vulnerabilidad que afecta a ConacWin de Setelsa Security, una plataforma de control de acceso, la cual ha sido descubierta por David Cámara Galindo, de Telefónica Tech. 

A esta vulnerabilidad se le ha asignado el siguiente código:

CVE-2023-4037:

  • Puntuación base CVSS v3.1: 9.9.
  • Cálculo del CVSS: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
  • Tipo de vulnerabilidad: CWE-89: inyección SQL.
5 – Crítica
Solución

Setelsa Security ha liberado la versión 3.9.1.1, la cual resuelve la vulnerabilidad reportada.

Detalle

CVE-2023-4037: vulnerabilidad de inyección SQL ciega en la interfaz web de Conacwin, cuya explotación podría permitir a un atacante local obtener datos confidenciales almacenados en la base de datos enviando una consulta SQL especialmente diseñada al parámetro xml.

Listado de referencias

Ir a la fuente
Author:
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.