प्लेटफ़ॉर्म
manageengine
घटक
manageengine-pam360
में ठीक किया गया
8531
8531
CVE-2026-5785 describes an authenticated SQL injection vulnerability discovered in ManageEngine PAM360. This flaw allows an attacker who has successfully authenticated to the system to inject malicious SQL code, potentially leading to unauthorized data access and manipulation. The vulnerability impacts versions 0.0.0 through 13230 of PAM360, and a patch is available in version 8531.
CVE-2026-5785 ManageEngine PAM360 (8531 से पहले के संस्करण) और ManageEngine Password Manager Pro (8600 से 13230 तक के संस्करण) को प्रभावित करता है। यह भेद्यता रिपोर्ट जनरेशन मॉड्यूल में प्रमाणित SQL इंजेक्शन की अनुमति देती है। सिस्टम तक प्रमाणित पहुंच रखने वाला एक हमलावर इस दोष का फायदा उठाकर SQL प्रश्नों में हेरफेर कर सकता है, जिससे संभावित रूप से डेटाबेस से संवेदनशील डेटा निकाला जा सकता है, जानकारी संशोधित की जा सकती है या सिस्टम की अखंडता को नुकसान पहुंचाया जा सकता है। CVSS गंभीरता स्कोर 8.1 है, जो उच्च जोखिम दर्शाता है। सफल शोषण के लिए हमलावर को PAM360 या Password Manager Pro तक पहुंचने के लिए मान्य क्रेडेंशियल रखने की आवश्यकता होती है। संभावित प्रभाव में पासवर्ड, उपयोगकर्ता जानकारी, ऑडिट डेटा और डेटाबेस में संग्रहीत अन्य गोपनीय डेटा का खुलासा शामिल है।
यह भेद्यता PAM360 और Password Manager Pro के रिपोर्ट जनरेशन मॉड्यूल में मौजूद है। एक प्रमाणित हमलावर रिपोर्ट के क्वेरी पैरामीटर में दुर्भावनापूर्ण SQL कोड इंजेक्ट कर सकता है। यह दुर्भावनापूर्ण कोड डेटाबेस सर्वर पर निष्पादित होता है, जिससे हमलावर गोपनीय डेटा तक पहुंच प्राप्त कर सकता है या अनधिकृत क्रियाएं कर सकता है। शोषण के लिए प्रमाणीकरण एक पूर्व शर्त है, जिसका अर्थ है कि हमलावर को सिस्टम तक पहुंचने के लिए एक मान्य उपयोगकर्ता खाता और क्रेडेंशियल रखने की आवश्यकता होती है। शोषण की जटिलता अपेक्षाकृत कम है, क्योंकि उपयोगकर्ता इंटरफ़ेस या API के माध्यम से इनपुट पैरामीटर को हेरफेर करके SQL इंजेक्शन किया जा सकता है। रिपोर्ट मॉड्यूल में इनपुट सत्यापन की कमी इस भेद्यता का मुख्य कारण है।
Organizations heavily reliant on ManageEngine PAM360 for privileged access management are at significant risk. Specifically, deployments with weak password policies or those storing sensitive data directly within the PAM360 database are particularly vulnerable. Shared hosting environments where multiple tenants share the same PAM360 instance also face increased risk.
• linux / server:
journalctl -u pam360 | grep -i "SQL injection"• database (mysql):
mysql -u <user> -p -e "SELECT VERSION();"• generic web:
curl -I <pam360_url>/query_report?param='; DROP TABLE users;--disclosure
एक्सप्लॉइट स्थिति
EPSS
0.02% (7% शतमक)
CISA SSVC
CVSS वेक्टर
समाधान ManageEngine PAM360 (संस्करण 8531 या बाद का) या ManageEngine Password Manager Pro (संस्करण 13230 या बाद का) के पैच किए गए संस्करण में अपग्रेड करना है। Zohocorp ने इस भेद्यता को दूर करने के लिए इन अपडेट को जारी किया है। इसके अतिरिक्त, संवेदनशील जानकारी तक पहुंच को केवल अधिकृत उपयोगकर्ताओं तक सीमित करने के लिए डेटाबेस एक्सेस नीतियों की समीक्षा और मजबूत करना चाहिए। रिपोर्ट जनरेशन मॉड्यूल के भीतर इनपुट सत्यापन और डेटा सैनिटाइजेशन को लागू करने से भविष्य के SQL इंजेक्शन को रोकने में मदद मिल सकती है। डेटाबेस से संबंधित संदिग्ध गतिविधि के लिए सिस्टम लॉग की निगरानी संभावित हमलों का पता लगाने और उनका जवाब देने के लिए महत्वपूर्ण है। भेद्यताओं की पहचान करने और उन्हें कम करने के लिए नियमित सुरक्षा ऑडिट आवश्यक हैं।
Actualice ManageEngine PAM360 a la versión 8531 o posterior, o ManageEngine Password Manager Pro a una versión posterior a 13230 para mitigar la vulnerabilidad de inyección SQL. Verifique las notas de la versión para obtener instrucciones específicas de actualización. Implemente validación y sanitización de entradas para prevenir futuras inyecciones SQL.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
8531 से पहले के संस्करणों के PAM360 और 8600 से 13230 तक के संस्करणों के Password Manager Pro प्रभावित हैं।
अपने PAM360 या Password Manager Pro इंस्टॉलेशन का संस्करण जांचें। यदि आप सूचीबद्ध संस्करणों से पहले का संस्करण उपयोग कर रहे हैं, तो आप भेद्य हैं।
यदि आप तुरंत अपग्रेड नहीं कर सकते हैं, तो रिपोर्ट जनरेशन मॉड्यूल तक पहुंच को न्यूनतम विशेषाधिकार वाले उपयोगकर्ताओं तक सीमित करें।
पासवर्ड, उपयोगकर्ता जानकारी, ऑडिट डेटा और डेटाबेस में संग्रहीत अन्य गोपनीय डेटा।
Zohocorp वेबसाइट या ManageEngine PAM360/Password Manager Pro के आधिकारिक दस्तावेज़ पर जाएं।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।