XDent・XMedicalに認証なしでSQLを実行される脆弱性
概要
CGM XDentとXMedicalの同期用のPHPエンドポイントに、認証なしで接続できる脆弱性が見つかりました。攻撃者はセッション変数を操作し、バックエンドのMySQLデータベースに任意のSQLを実行できるおそれがあります。影響を受けるのは4.4.0より前の版で、修正版は4.4.0です。4.4.0へのアップデートを進めてください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
CGM XDentとXMedicalの同期用のPHPエンドポイントに、認証なしで接続できる脆弱性が見つかりました。攻撃者はセッション変数を操作し、バックエンドのMySQLデータベースに任意のSQLを実行できるおそれがあります。影響を受けるのは4.4.0より前の版で、修正版は4.4.0です。4.4.0へのアップデートを進めてください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CompuGroup MedicalXDent |
4.4.0 未満→ 4.4.0 |
4.4.0 |
| CompuGroup MedicalXMedical |
4.4.0 未満→ 4.4.0 |
4.4.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CGM XDent and XMedical expose PHP synchronization endpoints that allow unauthenticated attackers to manipulate session variables and execute arbitrary SQL queries against backend MySQL databases.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web acn.gov.it
- web nvd.nist.gov
- web cgm.com
- web github.com