CVE-2007-2422
KrytyczneStreszczenie
Wielokrotne podatności na zdalne włączenie plików PHP w Modules Builder (modbuild) 4.1 dla Comdev One Admin umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze path[docroot] w plikach (1) config-bak.php lub (2) config.php. CVE kwestionuje tę podatność, ponieważ niezmodyfikowane skrypty ustawiają odpowiednią zmienną na pusty ciąg.
Ocena ryzyka
Atakujący mogą wykorzystać te podatności do zdalnego wykonywania kodu, co może prowadzić do przejęcia kontroli nad systemem. To stwarza poważne zagrożenie dla bezpieczeństwa danych i integralności aplikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Modules Builder oraz przegląd i modyfikację skryptów, aby zapewnić, że zmienne są odpowiednio zabezpieczone przed wprowadzeniem złośliwego kodu.
Oryginalny opis (angielski, źródło NVD)
Multiple PHP remote file inclusion vulnerabilities in Modules Builder (modbuild) 4.1 for Comdev One Admin allow remote attackers to execute arbitrary PHP code via a URL in the path[docroot] parameter to (1) config-bak.php or (2) config.php. NOTE: CVE disputes this vulnerability because the unmodified scripts set the applicable variable to the empty string; reasonable modified copies would use a fixed pathname string