CVE-2022-51023

WysokieCVSS 8.2

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

PHPOK 4.5.000 przed 5.4.081 zawiera podatność na wstrzyknięcie SQL umożliwiającą nieuwierzytelnionym atakującym manipulację klauzulami ORDER BY poprzez parametr sort. Atakujący mogą wysyłać żądania GET do /api.php?c=project&f=index z payloadami extractvalue w sort, aby wyciągnąć informacje z bazy danych poprzez komunikaty błędów.

Ocena ryzyka

Nieuwierzytelniony atakujący może odczytać dane z bazy poprzez błędy aplikacji, co prowadzi do wycieku informacji. Może to być wykorzystane do dalszej eskalacji ataku.

Rekomendacja

Zaktualizuj PHPOK do wersji 5.4.081 lub nowszej i wdróż walidację parametru sort oraz parametryzację zapytań. Wyłącz szczegółowe komunikaty błędów w środowisku produkcyjnym.

Inne podatności w PHPOK

CVE-2023-33601Wysokie
W phpok v6.4.100 występuje podatność na przesyłanie dowolnych plików w /admin.php?c=upload, co pozwala atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pliku PHP.

Oryginalny opis (angielski, źródło NVD)

PHPOK 4.5.000 before 5.4.081 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate ORDER BY clauses via the sort parameter. Attackers can send GET requests to /api.php?c=project&f=index with extractvalue payloads in sort to extract database information through error messages. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS