Podatności funadmin

W funadmin 7.1.0 wykryto lukę w funkcji Curd::selectList pliku /frontend/ajax/index (komponent Frontend List Endpoint). Manipulacja argumentem selectFields prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.

Wykryto lukę w funadmin do wersji 7.1.0-rc6, która dotyczy funkcji UploadService::chunkUpload w pliku app/common/service/UploadService.php. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.

Wersje 3.3.2 i 3.3.3 funadmin są podatne na niebezpieczne przesyłanie plików poprzez instalację wtyczek.