CVE-2011-5072
Publiée le 2012-01-29 · Dernière modification le 2026-06-16
Les versions de Support Incident Tracker (SiT!) antérieures à la version 3.65 sont affectées par plusieurs failles d'injection SQL. Un attaquant distant non authentifié peut les exploiter en envoyant des requêtes web spécialement conçues pour exécuter des commandes de base de données arbitraires, ce qui pourrait lui permettre de lire, modifier ou supprimer des données sensibles. Comme l'attaque ne nécessite aucune authentification et est facile à exécuter via un réseau, ces failles représentent un risque important pour les installations non mises à jour.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple SQL injection vulnerabilities in Support Incident Tracker (aka SiT!) before 3.65 allow remote attackers to execute arbitrary SQL commands via the (1) start parameter to portal/kb.php; (2) contractid parameter to contract_add_service.php; (3) id parameter to edit_escalation_path.php; (4) unlock, (5) lock, or (6) selected parameter to holding_queue.php; inc parameter in a report action to (7) report_customers.php or (8) report_incidents_by_site.php; (9) start parameter to search.php; or (10) sites parameter to transactions.php.