CVE-2023-34362

Trong MOVEit Transfer phiên bản trước 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5), và 2023.0.1 (15.0.1), đã phát hiện một lỗ hổng SQL injection trong ứng dụng web MOVEit Transfer. Lỗ hổng này có thể cho phép một kẻ tấn công không xác thực truy cập vào cơ sở dữ liệu của MOVEit Transfer. Tùy thuộc vào động cơ cơ sở dữ liệu được sử dụng (MySQL, Microsoft SQL Server, hoặc Azure SQL), kẻ tấn công có thể suy ra thông tin về cấu trúc và nội dung của cơ sở dữ liệu, và thực hiện các câu lệnh SQL thay đổi hoặc xóa các thành phần của cơ sở dữ liệu. Ghi chú: lỗ hổng này đã được khai thác trong thực tế vào tháng 5 và tháng 6 năm 2023; việc khai thác hệ thống chưa được vá có thể xảy ra qua HTTP hoặc HTTPS. Tất cả các phiên bản (ví dụ: 2020.0 và 2019x) trước năm phiên bản được liệt kê rõ ràng đều bị ảnh hưởng, bao gồm các phiên bản cũ hơn không còn được hỗ trợ.

CNA cấp mã

mitre

Ngày công bố

02/06/2023

Cập nhật

22/10/2025

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

n/a

EPSS (FIRST)

99.93% khả năng bị khai thác trong 30 ngày

CISA KEV

Progress MOVEit Transfer — Lỗ Hổng SQL Injection trong Progress MOVEit Transfer. Đưa vào 2023-06-02, hạn khắc phục 2023-06-23. Áp dụng các bản cập nhật theo hướng dẫn của nhà sản xuất.