| CVE ID | CVE-2024-6527 |
| Data publikacji | 09 lipca 2024 |
| Producent podatnego oprogramowania | Jan Syski |
| Nazwa podatnego oprogramowania | MegaBIP |
| Podatne wersje | Wszystkie do 5.13 włącznie |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Badania własne |
Opis podatności
CERT Polska w ramach badań własnych znalazł kolejną podatność w oprogramowaniu MegaBIP i koordynował proces ujawniania informacji.
Podatność CVE-2024-6527 umożliwia dowolnej osobie na wstrzyknięcie kodu SQL w parametrze "w" w pliku "druk.php", co w konsekwencji może doprowadzić np. do ujawnienia zawartości bazy danych przez atakującego, poznania tokenu administratora czy modyfikacji treści stron.
Podatność dotyczy programu MegaBIP we wszystkich wersjach do 5.13.
Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej
Na stronie Ministerstwa Cyfryzacji została opublikowana Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej dotycząca obowiązku niestosowania systemów SmodBIP i MegaBIP, jako platform Biuletynu Informacji Publicznej (BIP) do udostępniania informacji publicznej. Zgodnie z informacją Pełnomocnika, obowiązek dotyczy podmiotów krajowego systemu cyberbezpieczeństwa, w tym podmiotów publicznych.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.