| CVE ID | CVE-2024-6160 |
| Data publikacji | 24 czerwca 2024 |
| Producent podatnego oprogramowania | Jan Syski |
| Nazwa podatnego oprogramowania | MegaBIP |
| Podatne wersje | Wszystkie do 5.12.1 |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Badania własne |
Opis podatności
CERT Polska w ramach badań własnych znalazł podatność w oprogramowaniu MegaBIP i koordynował proces ujawniania informacji.
Podatność CVE-2024-6160 umożliwia dowolnej osobie wstrzyknięcie kodu SQL w zapytaniu, co w konsekwencji może doprowadzić np. do ujawnienia zawartości bazy danych przez atakującego, poznania ciasteczek sesyjnych czy modyfikacji treści stron. Podatność dotyczy programu MegaBIP we wszystkich wersjach do 5.12.1.
Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej
Na stronie Ministerstwa Cyfryzacji została opublikowana Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej dotycząca obowiązku niestosowania systemów SmodBIP i MegaBIP, jako platform Biuletynu Informacji Publicznej (BIP) do udostępniania informacji publicznej. Zgodnie z informacją Pełnomocnika, obowiązek dotyczy podmiotów krajowego systemu cyberbezpieczeństwa, w tym podmiotów publicznych.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.