CVE-2023-34362: Vulnérabilité d'injection SQL dans Progress MOVEit Transfer | Kitploit

CVE-2023-34362

CritiquePublié

Vulnérabilité d'injection SQL dans Progress MOVEit Transfer

Publié: 2 juin 2023
Mise à jour: 21 oct. 2025
Attribution de CNA: mitre
Preuve observée: 2 juin 2023

CVSS primaire

9,8/ 10Critique

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimation de probabilité EPSS

99,9 %

Élevé · 30 prochains jours

Percentile: 100,0 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

CISA Connu Exploité

Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.

Résumé

Dans Progress MOVEit Transfer avant 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) et 2023.0.1 (15.0.1), une vulnérabilité d'injection SQL a été découverte dans l'application web MOVEit Transfer, qui pourrait permettre à un attaquant non authentifié d'accéder à la base de données de MOVEit Transfer. Selon le moteur de base de données utilisé (MySQL, Microsoft SQL Server ou Azure SQL), un attaquant peut être en mesure de déduire des informations sur la structure et le contenu de la base de données, et d'exécuter des instructions SQL qui modifient ou suppriment des éléments de la base de données. Remarque : cette vulnérabilité est exploitée dans la nature en mai et juin 2023 ; l'exploitation de systèmes non corrigés peut se produire via HTTP ou HTTPS. Toutes les versions (par exemple, 2020.0 et 2019x) antérieures aux cinq versions explicitement mentionnées sont concernées, y compris les versions plus anciennes non prises en charge.

Sources

MOVEit_CVE-2023-34362_IOCsDétection
CVE-2023-34362-IOCs. Plus d'informations sur le site du blog de Deep Instinct.
MOVEit-ExploitExploit
un exploit de POC pour CVE-2023-34362 affectant MOVEit Transfer

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.