krail-jpa SQL注入漏洞

CVE编号

CVE-2016-15018

利用情况

暂无

补丁情况

N/A

披露时间

2023-01-16

漏洞描述

krail-jpa是KrailOrg开源的一个与 Krail 一起使用的模块。该模块提供 JPA 功能。 krail-jpa 0.9.1 之前版本存在SQL注入漏洞，该漏洞源于未知部分影响，操作导致 SQL注入。

解决建议

"将组件 uk.q3c.krail:krail-jpa 升级至 0.9.2 及以上版本"

参考链接
https://github.com/KrailOrg/krail-jpa/commit/c1e848665492e21ef6cc9be443205e36b9a1f6be
https://github.com/KrailOrg/krail-jpa/issues/18
https://github.com/KrailOrg/krail-jpa/releases/tag/0.9.2
https://vuldb.com/?ctiid.218373
https://vuldb.com/?id.218373

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	krail-jpa_project	krail-jpa	*		Up to (excluding) 0.9.2

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
CWE-89	SQL命令中使用的特殊元素转义处理不恰当（SQL注入）

Exp相关链接

- avd.aliyun.com