CVE-2020-37057: Injeção de SQL no Módulo de Feedback do Online-Exam-System 2015 via Parâmetro fid
O Online-Exam-System 2015 contém uma falha de injeção de SQL (CWE-89) no módulo de feedback, acessível pelo parâmetro 'fid'. Segundo o registro, um atacante poderia potencialmente extrair, modificar ou excluir informações do banco de dados. A NVD classifica como crítica (9,8, CVSS 3.1), não há versão corrigida listada e o CVE não consta no catálogo KEV da CISA.
Visão geral
O registro descreve uma fraqueza de injeção de SQL (CWE-89) no módulo de feedback do Online-Exam-System 2015, publicado no projeto de Sunnygkp10. O parâmetro 'fid' é usado em consultas ao banco de dados sem neutralização adequada da entrada.
Impacto
Segundo o registro, um atacante poderia usar essa falha para extrair, modificar ou excluir informações do banco de dados. A NVD atribui nota 9,8 (crítica) pelo CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios e sem interação do usuário, conforme o vetor informado.
Produtos e versões afetadas
- Produto citado no registro: Sunnygkp10 Online-exam-system-.
- Versão listada: 2015.
- O registro não lista versão corrigida. Isso não prova que não exista correção; significa que as fontes consultadas não a informaram.
Status de exploração
O registro indica que este CVE não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. A referência à Exploit-DB indica que existe um registro público de exploit, mas isso por si só não confirma uso em ataques reais.
Correção e mitigação
- Inventarie qualquer implantação dessa aplicação, especialmente páginas de provas ou feedback expostas à internet.
- Como não há correção do fornecedor listada, verifique se o projeto disponibiliza versão atualizada ou um fork mantido, e considere desativar o módulo de feedback até que ele seja revisado.
- Aplique validação de entrada no servidor e consultas parametrizadas no trecho de código afetado, e limite os privilégios da conta de banco de dados.
- Restrinja o acesso à aplicação por autenticação ou controles de rede, sempre que possível.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores incomuns no parâmetro fid do módulo de feedback, incluindo caracteres inesperados ou mensagens de erro de banco de dados.
- Monitore os logs do banco de dados em busca de consultas atípicas originadas da conta usada pela aplicação web.
Limitações das informações disponíveis
O registro não inclui versão corrigida, dados de EPSS ou SSVC, nem detalhes do fornecedor sobre o código vulnerável. O link do aviso da VulnCheck está marcado como quebrado. A NVD fornece a nota 9,8; a CNA VulnCheck informa 8,8 pela versão 4.0 e 8,2 pela versão 3.1.
Perguntas frequentes
Qual é a fraqueza central do CVE-2020-37057?
O registro a classifica como injeção de SQL (CWE-89) no módulo de feedback, em que o parâmetro 'fid' pode influenciar consultas ao banco de dados.
Há exploração ativa conhecida para este CVE?
Não. O registro indica que ele não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida. Isso significa que as fontes consultadas não a informaram, não que não exista correção.
O que defensores devem fazer agora?
Inventariar as implantações, considerar desativar o módulo de feedback, aplicar consultas parametrizadas e validação de entrada se mantiverem o código, restringir o acesso e revisar logs em busca de valores fid incomuns.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.