高度威脅

CVE-2024-31856

CWE-89：SQL 命令中使用的特殊元素中和不當 （'SQL INJECTION'）

具有特定 MQTT 許可權的攻擊者可能會為所有電源面板裝置建立惡意訊息。 這可能導致攻擊者注入 SQL 語法、將任意檔案寫入系統，以及執行遠端程式碼。

成功利用這些弱點可能導致攻擊者繞過身份驗證並獲得管理員權限， 偽造 JWT 權杖以繞過驗證， 將任意檔案寫入伺服器並執行程式碼， 透過 PowerPanel 應用程式的權限存取服務， 存取測試或生產伺服器， 學習密碼和使用使用者或管理員權限進行驗證， 插入 SQL 語法， 將任意檔案寫入系統， 執行遠端代碼 冒充系統中的任何用戶端並傳送惡意資料， 或在存取任何裝置後從整個系統取得資料。