Alta minaccia

CVE-2024-31856

CWE-89: NEUTRALIZZAZIONE IMPROPRIA DI ELEMENTI SPECIALI UTILIZZATI IN UN COMANDO SQL ("INIEZIONE SQL")

Un utente malintenzionato con determinate autorizzazioni MQTT può creare messaggi dannosi per tutti i dispositivi Power Panel. Ciò potrebbe comportare l'iniezione di sintassi SQL da parte di un utente malintenzionato, la scrittura di file arbitrari nel sistema e l'esecuzione di codice remoto.

Lo sfruttamento riuscito di queste vulnerabilità potrebbe comportare l’esclusione dell’autenticazione da parte di un utente malintenzionato e l’ottenimento dei privilegi di amministratore, forgiare token JWT per bypassare l'autenticazione, scrivere file arbitrari sul server e ottenere l'esecuzione del codice, ottenere l'accesso ai servizi con i privilegi di un'applicazione PowerPanel, ottenere l'accesso al server di test o di produzione, apprendimento delle password e autenticazione con privilegi utente o amministratore, iniettando la sintassi SQL, scrivere file arbitrari sul sistema, esecuzione di codice remoto, impersonare qualsiasi client nel sistema e inviare dati dannosi, o ottenere dati da tutto il sistema dopo aver ottenuto l'accesso a qualsiasi dispositivo.