CVE-2012-2239
CriticalSummary
Mahara w wersjach 1.4.x przed 1.4.4 oraz 1.5.x przed 1.5.3 jest podatna na atak typu XXE, który umożliwia zdalnym atakującym odczyt dowolnych plików lub nawiązywanie połączeń TCP. Przykładem jest możliwość odczytu pliku config.php.
Risk Assessment
Atakujący mogą uzyskać dostęp do wrażliwych danych systemowych, co może prowadzić do dalszych ataków na infrastrukturę organizacji. To stwarza poważne zagrożenie dla poufności i integralności danych.
Recommendation
Zaleca się aktualizację Mahara do wersji 1.4.4 lub 1.5.3 oraz wdrożenie zabezpieczeń ograniczających możliwość wykonywania ataków XXE.
Original NVD description (English source)
Mahara 1.4.x before 1.4.4 and 1.5.x before 1.5.3 allows remote attackers to read arbitrary files or create TCP connections via an XML external entity (XXE) injection attack, as demonstrated by reading config.php.