CVE-2014-10015

Wysokie

Opublikowano: 13/01/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

W podatności CVE-2014-10015 występuje luka typu SQL injection w pliku load-calendar.php w PHPJabbers Event Booking Calendar 2.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr cid.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do kradzieży danych lub ich modyfikacji.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji PHPJabbers Event Booking Calendar oraz wprowadzenie filtracji i walidacji danych wejściowych w aplikacji.

Inne podatności w PHPJabbers Event Booking Calendar 2.0

CVE-2023-40765Krytyczne
W wersji 4.0 kalendarza rezerwacji wydarzeń PHPJabbers występuje problem z enumeracją użytkowników. Podczas odzyskiwania hasła różnice w komunikatach mogą umożliwić atakującemu ustalenie, czy użytkownik jest ważny, co pozwala na przeprowadzenie ataku brute force na ważnych użytkowników.

Oryginalny opis (angielski, źródło NVD)

SQL injection vulnerability in load-calendar.php in PHPJabbers Event Booking Calendar 2.0 allows remote attackers to execute arbitrary SQL commands via the cid parameter.