FICHE CVE

CVE-2020-16165

Publiée le 2020-07-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

SpringBlade (versions jusqu'à la 2.7.1) est affecté par une faille dans la gestion des paramètres de tri de l'API de journalisation. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une requête spécialement conçue vers le point de terminaison `/api/blade-log/api/list` pour exécuter des commandes SQL arbitraires sur la base de données. Comme cela ne nécessite aucune interaction d'utilisateur ni d'identifiants, cela permet le vol, la modification ou la suppression potentiels de données système sensibles.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Injection SQL · CWE-89

Publiée2020-07-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The DAO/DTO implementation in SpringBlade through 2.7.1 allows SQL Injection in an ORDER BY clause. This is related to the /api/blade-log/api/list ascs and desc parameters.