CVE-2014-2323
KrytyczneStreszczenie
Podatność na wstrzykiwanie SQL w mod_mysql_vhost.c w lighttpd przed wersją 1.4.35 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nazwę hosta, związane z request_check_hostname.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do ujawnienia danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację lighttpd do wersji 1.4.35 lub nowszej, aby usunąć tę podatność.
Inne podatności w lighttpd
Zobacz wszystkie- CVE-2026-15701Krytyczne
W urządzeniu Totolink NR1800X z wersją oprogramowania 9.1.0u.6279_B20210910 wykryto podatność w funkcji Form_Logout pliku /formLogout.htm w komponencie lighttpd. Manipulacja argumentem Host prowadzi do przepełnienia bufora na stosie, co może być zdalnie wykorzystane przez atakującego.
- CVE-2026-7546Krytyczne
W Totolink NR1800X w wersji 9.1.0u.6279_B20210910 wykryto podatność bezpieczeństwa w funkcji find_host_ip komponentu lighttpd. Manipulacja argumentem Host prowadzi do przepełnienia bufora na stosie.
- CVE-2025-12642Krytyczne
lighttpd 1.4.80 nieprawidłowo scala pola trailer z nagłówkami po parsowaniu żądania HTTP. Takie zachowanie może być wykorzystane do przeprowadzenia ataków HTTP Header Smuggling. Udana eksploatacja może pozwolić na obejście reguł kontroli dostępu, wstrzyknięcie niebezpiecznych danych do logiki backendu ufającej nagłówkom żądań oraz wykonanie ataków HTTP Request Smuggling w niektórych warunkach.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in mod_mysql_vhost.c in lighttpd before 1.4.35 allows remote attackers to execute arbitrary SQL commands via the host name, related to request_check_hostname.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS