CVE-2022-27434

UNIT4 TETA Mobile Edition 29HF13 には、errorReporting ページの ProfileName パラメータを介した SQL インジェクションの脆弱性が存在することが判明しました。

この脆弱性は、アプリケーションが生成するエラーページ（この場合はパスワード変更時）に存在します。ProfileName パラメータに引用符を追加すると Oracle データベースエラーが発生します。これは、入力がサニタイズされていないことを意味します。

リクエスト

レスポンス

修復

この脆弱性は、UNIT4 のサービス ポータルを通じてすでに報告済みです。パッチ（29.5.HF17）はダウンロード可能です。