概述

CVE-2022-50592

Advantech iView < v5.7.04 Build 6425 getInventoryReportData参数SQL注入远程代码执行漏洞

漏洞描述

Advantech iView v5.7.04 Build 6425之前版本在SNMP管理工具中存在漏洞，允许远程攻击者绕过身份验证检查，并通过"NetworkServlet"端点中的"getInventoryReportData"参数触发SQL注入漏洞。成功利用此漏洞可导致攻击者以管理员权限执行远程代码。

漏洞时间线

• 发布日期：2025年11月6日 20:15
• 最后修改：2025年11月6日 20:15
• 远程利用：是
• 来源：disclosure@vulncheck.com

受影响产品

以下产品受到CVE-2022-50592漏洞影响：

总计受影响厂商：1 | 产品：1

CVSS评分

通用漏洞评分系统是评估软件和系统漏洞严重程度的标准化框架。我们为每个CVE收集并显示来自不同来源的CVSS分数。

解决方案

• 将Advantech iView更新到解决认证绕过和SQL注入漏洞的版本
• 更新Advantech iView至版本5.7.04 Build 6425或更高版本
• 应用供应商补丁以缓解SQL注入
• 限制对SNMP管理工具的访问
• 监控可疑活动

参考链接

CWE - 通用弱点枚举

CVE-2022-50592与以下CWE相关：

• CWE-89：SQL命令中使用的特殊元素的不当中和（SQL注入）
• CWE-306：关键功能缺少身份验证

通用攻击模式枚举和分类(CAPEC)

CAPEC存储攻击模式，这些模式描述了对手利用CVE-2022-50592弱点的常见属性和方法：

• CAPEC-7：盲SQL注入
• CAPEC-66：SQL注入
• CAPEC-108：通过SQL注入执行命令行
• CAPEC-109：对象关系映射注入
• CAPEC-110：通过SOAP参数篡改进行SQL注入
• CAPEC-470：从数据库扩展对操作系统的控制
• CAPEC-12：选择消息标识符
• CAPEC-36：使用未发布的接口或功能
• CAPEC-62：跨站请求伪造
• CAPEC-166：强制系统重置值
• CAPEC-216：通信信道操纵

漏洞历史记录

漏洞历史记录详细信息可用于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。