CVE-2012-0911
CriticalSummary
TikiWiki CMS/Groupware w wersjach przed 6.7 LTS i 8.4 pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez spreparowany obiekt zserializowany w określonych parametrach. W szczególności dotyczy to parametrów w plikach tiki-print_multi_pages.php, tiki-print_pages.php oraz tiki-send_objects.php.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do pełnej kompromitacji systemu, umożliwiając atakującym uruchamianie dowolnych skryptów na serwerze. To stwarza poważne zagrożenie dla integralności i poufności danych organizacji.
Recommendation
Zaleca się aktualizację TikiWiki CMS/Groupware do wersji 6.7 LTS lub 8.4 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczeń, takie jak filtrowanie danych wejściowych.
Original NVD description (English source)
TikiWiki CMS/Groupware before 6.7 LTS and before 8.4 allows remote attackers to execute arbitrary PHP code via a crafted serialized object in the (1) cookieName to lib/banners/bannerlib.php; (2) printpages or (3) printstructures parameter to (a) tiki-print_multi_pages.php or (b) tiki-print_pages.php; or (4) sendpages, (5) sendstructures, or (6) sendarticles parameter to tiki-send_objects.php, which is not properly handled when processed by the unserialize function.