BillQuick Web Suite安全漏洞

CNNVD-ID编号	CNNVD-202110-1637	CVE编号	CVE-2021-42258
发布时间	2021-10-22	更新时间	2021-10-25
漏洞类型	其他	漏洞来源	N/A
危险等级	中危	威胁类型	N/A
厂商	N/A

漏洞介绍

Bqe Software BillQuick Web Suite是美国Bqe Software公司的一个 Bqe Software 的时间和计费系统。 BQE BillQuick Web Suite 存在安全漏洞，该漏洞源于 BQE BillQuick Web Suite 2018 到 2021 允许 SQL 注入用于未经身份验证的远程代码执行，如 2021 年 10 月在野外被利用以安装勒索软件。例如，SQL 注入可以使用 txtID（又名用户名）参数。成功的利用可能包括通过 xp_cmdshell 以 MSSQLSERVER$ 形式执行任意代码的能力。

漏洞补丁

目前厂商已发布升级了BillQuick Web Suite安全漏洞的补丁，BillQuick Web Suite安全漏洞的补丁获取链接： https://www.huntress.com/blog/threat-advisory-hackers-are-exploiting-a-vulnerability-in-popular-billing-software-to-deploy-ransomware