Podatności w oprogramowaniu Wapro ERP Desktop firmy Asseco Business Solutions

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Wapro ERP Desktop firmy Asseco Business Solutions i koordynował proces ujawniania informacji.

Podatność CVE-2024-4995 pozwala na obniżenie wersji protokołu MS SQL do takiej, w której komunikacja jest nieszyfrowana. Aplikacja kliencka akceptuje takie żądanie nadchodzące ze strony serwera, co umożliwia podsłuchanie i modyfikację komunikacji. Ten problem dotyczy systemu Wapro ERP Desktop do wersji 9.00.0.

Podatność CVE-2024-4996 umożliwia uzyskanie dostępu do informacji przechowywanych w bazie danych. To samo, zakodowane na stałe hasło do specjalnego konta w bazie, jest używane we wszystkich podatnych instalacjach programu. Ten problem dotyczy systemu Wapro ERP Desktop do wersji 8.90.0.