Podatności qcubed
4 znanych podatności CVE w qcubed, przetłumaczonych i ocenionych.
- CVE-2020-24914Krytyczne
Podatność w pliku profile.php biblioteki qcubed umożliwia wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych z parametru POST "strProfileData". Niezautoryzowany atakujący może wykorzystać ten błąd do zdalnego wykonania kodu na serwerze.
- CVE-2020-24913Krytyczne
Podatność SQL Injection w qcubed (wszystkie wersje do 3.1.1) w pliku profile.php przez parametr strQuery umożliwia nieuwierzytelnionemu atakującemu dostęp do bazy danych poprzez wstrzyknięcie kodu SQL za pomocą spreparowanego żądania POST.
- CVE-2020-24912Średnie
W qcubed (wszystkie wersje, w tym 3.1.1) w pliku profile.php występuje odbita podatność na skrypty między witrynami (XSS) przez parametr stQuery. Umożliwia ona nieuwierzytelnionemu atakującemu kradzież sesji uwierzytelnionych użytkowników.
- CVE-2017-20288Średnie
QCubed w wersjach od 2.2.0 do 3.1.1 zawiera podatność na odbity cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie skryptów poprzez parametr installation_path. Atakujący może spreparować żądania GET do /assets/php/_devtools/installer/step_2.php ze złośliwymi wartościami installation_path odbijanymi bez escapowania, wykonując JavaScript w przeglądarkach ofiar.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS