Plateforme
other
Composant
unica
Corrigé dans
25.1.2
CVE-2025-62319 décrit une vulnérabilité d'injection SQL basée sur des booléens dans Unica, affectant les versions jusqu'à 25.1.1. Cette faille permet à un attaquant d'injecter des requêtes SQL arbitraires, compromettant potentiellement la confidentialité et l'intégrité des données. La vulnérabilité a été publiée le 16 mars 2026 et nécessite une mise à jour vers une version corrigée ou l'implémentation de mesures d'atténuation.
L'injection SQL basée sur des booléens exploite la capacité d'un attaquant à manipuler les requêtes SQL en injectant des conditions booléennes (VRAI ou FAUX) dans les champs d'entrée de l'application. Contrairement aux injections SQL traditionnelles, cette technique ne renvoie pas d'erreurs de base de données visibles ni de données. Au lieu de cela, l'application réagit différemment en fonction de si la condition injectée évalue à vrai ou faux. Cela permet à un attaquant d'extraire des informations sensibles, de modifier des données ou même d'exécuter des commandes sur le serveur de base de données sous-jacent. Dans le contexte d'Unica, une exploitation réussie pourrait permettre à un attaquant de compromettre les données des utilisateurs, de modifier les configurations du système ou d'accéder à des informations confidentielles stockées dans la base de données. Le niveau de criticité CVSS de 9.8 indique un risque élevé et une exploitation potentiellement dévastatrice.
La vulnérabilité CVE-2025-62319 est considérée comme critique en raison de sa facilité d'exploitation et de son impact potentiel. Il n'y a pas d'indication qu'elle soit actuellement activement exploitée, mais la publication de la vulnérabilité pourrait inciter des acteurs malveillants à développer des exploits. Il n'y a pas d'entrée dans le KEV (Known Exploited Vulnerabilities) à ce jour. Des preuves publiques de concept (PoC) pourraient émerger, augmentant le risque d'exploitation.
Organizations utilizing Unica for marketing automation and customer relationship management are at risk, particularly those running versions 25.1.1 or earlier. Shared hosting environments where multiple tenants share a database are also at increased risk, as a compromise of one tenant could potentially lead to the compromise of others.
disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 12%)
CISA SSVC
Vecteur CVSS
En l'absence d'une version corrigée immédiatement disponible, plusieurs mesures d'atténuation peuvent être mises en œuvre. Il est crucial de valider et d'échapper rigoureusement toutes les entrées utilisateur avant de les utiliser dans des requêtes SQL. L'utilisation de requêtes paramétrées ou de procédures stockées est fortement recommandée pour prévenir les injections SQL. La mise en place d'un pare-feu applicatif web (WAF) peut aider à détecter et à bloquer les tentatives d'injection SQL. De plus, une surveillance attentive des journaux d'accès et d'erreurs peut aider à identifier les activités suspectes. Après l'application de ces mesures, vérifiez l'intégrité du système en effectuant des tests de pénétration ciblés sur les points d'entrée potentiels de l'injection SQL.
Mettez à jour vers une version ultérieure à la 25.1.1. Consultez l'article de la base de connaissances HCL pour plus de détails et des instructions de mise à jour spécifiques.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-62319 is a critical SQL Injection vulnerability affecting Unica versions 25.1.1 and below, allowing attackers to manipulate SQL queries and potentially access sensitive data.
If you are using Unica version 25.1.1 or earlier, you are potentially affected by this vulnerability. Check your version and apply the available patch as soon as possible.
The recommended fix is to upgrade to a patched version of Unica. Monitor the vendor's website for the availability of the patch.
While no active exploitation has been confirmed, the high CVSS score and the well-understood nature of SQL injection suggest a high probability of exploitation.
Refer to the official Unica security advisories on the vendor's website for the latest information and patch details.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.