CVE-2021-47980
WysokieStreszczenie
Fuel CMS w wersji 1.4.13 zawiera podatność na ślepą injekcję SQL, która pozwala uwierzytelnionym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze 'col' w interfejsie dziennika aktywności.
Ocena ryzyka
Atakujący mogą wysyłać złośliwe żądania do punktu końcowego dzienników, co może prowadzić do ujawnienia informacji z bazy danych na podstawie opóźnień czasowych odpowiedzi.
Rekomendacja
Zaleca się aktualizację Fuel CMS do najnowszej wersji oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak filtrowanie danych wejściowych.
Inne podatności w Fuel CMS 1.4.13
Zobacz wszystkie- CVE-2020-17463KrytyczneAktywnie exploitowane
FUEL CMS 1.4.7 pozwala na wstrzyknięcie kodu SQL poprzez parametr col w adresach /pages/items, /permissions/items lub /navigation/items. Atakujący może manipulować zapytaniami do bazy danych.
- CVE-2023-33557Wysokie
W wersji 1.5.2 Fuel CMS odkryto podatność na wstrzyknięcie SQL poprzez parametr id w pliku /controllers/Blocks.php.
Oryginalny opis (angielski, źródło NVD)
Fuel CMS 1.4.13 contains a blind SQL injection vulnerability that allows authenticated attackers to manipulate database queries by injecting SQL code through the 'col' parameter in the Activity Log interface. Attackers can send requests to the logs endpoint with malicious SQL payloads in the 'col' parameter to extract database information based on response time delays.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS