CVE-2012-2239
KrytyczneStreszczenie
Mahara w wersjach 1.4.x przed 1.4.4 oraz 1.5.x przed 1.5.3 jest podatna na atak typu XXE, który umożliwia zdalnym atakującym odczyt dowolnych plików lub nawiązywanie połączeń TCP. Przykładem jest możliwość odczytu pliku config.php.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych systemowych, co może prowadzić do dalszych ataków na infrastrukturę organizacji. To stwarza poważne zagrożenie dla poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację Mahara do wersji 1.4.4 lub 1.5.3 oraz wdrożenie zabezpieczeń ograniczających możliwość wykonywania ataków XXE.
Oryginalny opis (angielski, źródło NVD)
Mahara 1.4.x before 1.4.4 and 1.5.x before 1.5.3 allows remote attackers to read arbitrary files or create TCP connections via an XML external entity (XXE) injection attack, as demonstrated by reading config.php.