Vulnerabilidad de Inyección SQL en FileCatalyst Workflow 5.1.6 Build 135 (y versiones anteriores)

Un atacante que explote con éxito esta vulnerabilidad de inyección SQL podría comprometer la integridad de la aplicación FileCatalyst Workflow. La modificación de datos podría incluir la creación de cuentas de administrador no autorizadas, permitiendo el control total del sistema. Aunque la exfiltración de datos a través de SQL injection no es posible directamente con esta vulnerabilidad, la capacidad de modificar datos críticos representa un riesgo significativo para la confidencialidad y disponibilidad de la información almacenada en la base de datos. La explotación exitosa requiere un sistema Workflow con acceso anónimo habilitado, o un usuario autenticado.

Organizations utilizing FileCatalyst Workflow, particularly those with anonymous access enabled or legacy configurations running versions 0 through 5.1.6, are at significant risk. Shared hosting environments where multiple users share the same FileCatalyst Workflow instance are also particularly vulnerable, as an attacker could potentially compromise the entire system through a single vulnerable instance.

• linux / server: Monitor FileCatalyst Workflow logs for unusual SQL queries or error messages indicative of injection attempts. Use journalctl -f to monitor relevant log files in real-time.

journalctl -f -u filecatalyst_workflow | grep "SQL injection"

• generic web: Use curl to test vulnerable endpoints with common SQL injection payloads. Examine response headers and content for signs of successful injection.

curl -X POST -d "param='; DROP TABLE users; --" https://your-filecatalyst-workflow-url/vulnerable-endpoint

• database (mysql): If you have access to the underlying MySQL database, check for unauthorized user accounts or modified data that could indicate exploitation.

SELECT user, host FROM mysql.user WHERE user NOT IN ('root');

1. 2024-06-25Disclosure

   disclosure

1. Reservado2024-05-23
2. Publicada2024-06-25
3. Modificada2024-08-01
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-5276 es actualizar FileCatalyst Workflow a la versión 5.1.7 o superior. Si la actualización no es inmediatamente posible, deshabilitar el acceso anónimo al sistema Workflow es una medida temporal para reducir la superficie de ataque. Implementar reglas en un Web Application Firewall (WAF) o proxy para filtrar tráfico malicioso que intente inyectar código SQL también puede ayudar a mitigar el riesgo. Monitorear los logs de la aplicación en busca de patrones sospechosos de inyección SQL es crucial para la detección temprana.