漏洞分享 - ESi直通國際之 AIM LINE行銷平台存在 SQL Injection 漏洞

                                                                                                                                                                                                                 

ESi直通國際 AIM LINE行銷平台存在 SQL Injection 漏洞

一、摘要

        ESi直通國際 AIM LINE行銷平台，在LINE活動模組啟用的情況下未妥善驗證特定查詢參數，將允許未經身分鑑別之遠端攻擊者可注入任意 FetchXml 指令讀取、修改及刪除資料庫內容。

二、存在風險

        ESi直通國際 AIM LINE行銷平台，在LINE活動模組啟用的情況下未妥善驗證特定查詢參數，將允許未經身分鑑別之遠端攻擊者可注入任意 FetchXml 指令讀取、修改及刪除資料庫內容，其影響系統或版本如下：

• 受影響之系統/漏洞描述：
• AIM LINE行銷平台 3.3 至 5.8.4 版本

三、建議改善措施：

           企業及使用者如有上述漏洞版本應儘速更新：

• 請聯繫廠商安裝修補程式或升級至6.0(含)以上版本。
 

      情資報告連結：https://www.twcert.org.tw/tw/cp-132-8146-497a2-1.html