یک نقص امنیتی در محصول iFlytek astron-agent تا نسخه 1.0.7 شناسایی شده است که امکان اجرای حملات تزریق کد یا SQL Injection را فراهم می‌کند.
جزئیات فنی
این آسیب‌پذیری در نقطه پایانی (Endpoint) مربوط به API getBotList و در فایل ChatBotMarketMapper.xml رخ می‌دهد. مهاجم می‌تواند با دستکاری آرگومان sortDirection، دستورات SQL مخرب را به پایگاه داده ارسال کند. با توجه به ماهیت این نقص، حمله می‌تواند به صورت Remote (از راه دور) اجرا شود.
راهکار رفع آسیب‌پذیری
برای رفع این مشکل، کاربران باید سیستم خود را به نسخه reward-1575 ارتقا دهند. این اصلاحیه تحت شناسه 6702be70ae802b1048f5fbec91e690e7b71a4165 منتشر شده است تا از دسترسی‌های غیرمجاز به داده‌ها و اجرای دستورات غیرقانونی در دیتابیس جلوگیری شود.
