Plataforma
php
Componente
gesio-erp
Corrigido em
11.2
A vulnerabilidade CVE-2020-8967 representa uma falha crítica de injeção de SQL no GESIO ERP. Esta falha permite que atacantes maliciosos injetem comandos SQL arbitrários, comprometendo a integridade e confidencialidade dos dados armazenados. Versões do GESIO ERP anteriores à 11.2 são suscetíveis. A correção foi disponibilizada na versão 11.2.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante obtenha acesso irrestrito a todo o banco de dados do GESIO ERP. Isso inclui informações confidenciais como dados de clientes, informações financeiras, credenciais de usuário e outros dados sensíveis. Um atacante pode usar essas informações para roubo de identidade, fraude financeira, manipulação de dados ou até mesmo para obter controle total sobre o sistema. A ausência de uma validação adequada das entradas do usuário possibilita a injeção de comandos SQL, abrindo uma brecha significativa na segurança do sistema. A vulnerabilidade se assemelha a outros casos de injeção SQL que resultaram em graves comprometimentos de dados em sistemas ERP.
A vulnerabilidade CVE-2020-8967 foi divulgada publicamente em 01 de junho de 2020. Não há informações disponíveis sobre a inclusão desta vulnerabilidade no KEV (CISA Known Exploited Vulnerabilities) ou sobre a existência de um EPSS (Exploit Prediction Scoring System) score. Atualmente, não há relatos públicos de exploração ativa desta vulnerabilidade, mas a gravidade da falha (CVSS 10) indica um alto risco potencial.
Organizations using GESIO ERP, particularly those with older versions (≤11.2), are at significant risk. This includes small to medium-sized businesses relying on GESIO ERP for their core business processes. Shared hosting environments where multiple users share the same GESIO ERP instance are also particularly vulnerable, as a compromise of one user's account could potentially lead to a compromise of the entire system.
• php: Examine application logs for unusual SQL query patterns or error messages related to SQL syntax.
grep -i 'SQL syntax' /var/log/apache2/error.log• generic web: Use curl to test for SQL injection vulnerabilities on input fields.
curl -X POST -d "param='; DROP TABLE users;--" http://example.com/vulnerable_page.php• database (mysql): Check for unauthorized database users or unusual query activity.
mysql -u root -p -e "SHOW GRANTS;"disclosure
Status do Exploit
EPSS
0.26% (percentil 50%)
Vetor CVSS
A mitigação primária para CVE-2020-8967 é a atualização imediata para a versão 11.2 ou superior do GESIO ERP. Se a atualização imediata não for possível, implemente firewalls de aplicação web (WAF) com regras para bloquear tentativas de injeção SQL. Monitore os logs de acesso e erro do GESIO ERP em busca de padrões suspeitos, como consultas SQL incomuns ou erros relacionados a SQL. Além disso, revise e fortaleça a validação de todas as entradas do usuário para evitar futuras injeções SQL. Após a atualização, confirme a correção executando testes de penetração ou utilizando ferramentas de varredura de vulnerabilidades para garantir que a vulnerabilidade foi efetivamente corrigida.
Atualize o GESIO ERP para a versão 11.2 ou posterior. Esta versão corrige a vulnerabilidade de injeção SQL que permite a usuários maliciosos acessar informações sensíveis do banco de dados.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2020-8967 is a critical SQL Injection vulnerability in GESIO ERP versions up to 11.2, allowing attackers to retrieve all database information.
If you are using GESIO ERP version 11.2 or earlier, you are vulnerable to this SQL Injection attack.
Upgrade GESIO ERP to version 11.2 or later to resolve the vulnerability. Consider temporary workarounds like input validation if immediate upgrade is not possible.
While there's no confirmed active exploitation, the vulnerability's severity and ease of exploitation make it a potential target.
Refer to the GESIO ERP website or security advisories for the official announcement and details regarding this vulnerability.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.