Vulnerabilidad en i-Educar (CVE-2024-45059)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

28/08/2024

Última modificación:

13/09/2024

Descripción

i-Educar es un software de gestión escolar gratuito y completamente online que permite a las secretarias, profesores, coordinadores y responsables de área de la escuela crear una consulta SQL a partir de una concatenación de un parámetro GET controlado por el usuario, lo que permite a un atacante manipular la consulta. La explotación exitosa de esta falla permite a un atacante tener acceso completo y sin restricciones a la base de datos, con un usuario web con permisos mínimos. Esto puede implicar la obtención de información del usuario, como correos electrónicos, hashes de contraseñas, etc. Este problema aún no ha sido parcheado. Se recomienda a los usuarios que se pongan en contacto con el desarrollador y que coordinen un cronograma de actualización.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto