漏洞分享 - 全識科技之空間管理系統存在SQL injection和Reflected XSS漏洞
全識科技之空間管理系統存在SQL injection和Reflected XSS漏洞
一、摘要
全識科技的空間管理系統未妥善過濾使用者輸入，導致已取得一般權限之遠端攻擊者可注入Javascript並進行Reflected XSS攻擊。另一漏洞則允許未經身分鑑別之遠端攻擊者注入任意 SQL 指令讀取、修改及刪除資料庫內容。
二、存在風險
全識科技的空間管理系統未妥善過濾使用者輸入，導致已取得一般權限之遠端攻擊者可注入Javascript並進行Reflected XSS攻擊。另一漏洞則允許未經身分鑑別之遠端攻擊者注入任意 SQL 指令讀取、修改及刪除資料庫內容，其影響系統或版本如下：
- 受影響之系統/漏洞描述：
- Reflected XSS：空間管理系統 2024-04-09-3302(不含)以前版本
- SQL injection：空間管理系統 2024-04-09-3302(不含)以前版本
三、建議改善措施：
企業及使用者如有上述漏洞版本應盡速更新設備：
- 請更新至2024-04-09-3302(含)以後版本。
情資報告連結：
