CVE-2014-8596

Wysokie

Opublikowano: 17/11/2014(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

W PHP-Fusion w wersji 7.02.07 występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL. Ataki te mogą być przeprowadzane poprzez parametry submit_id w pliku submissions.php oraz status w pliku members.php.

Ocena ryzyka

Podatności te mogą prowadzić do nieautoryzowanego dostępu do bazy danych, co może skutkować ujawnieniem wrażliwych danych lub ich modyfikacją. Organizacje powinny być świadome ryzyka związanego z wykorzystaniem tych luk przez złośliwych użytkowników.

Rekomendacja

Zaleca się aktualizację PHP-Fusion do najnowszej wersji, aby usunąć te podatności. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczeń, takie jak ograniczenie dostępu do krytycznych funkcji dla nieautoryzowanych użytkowników.

Inne podatności w PHP-Fusion 7.02.07

CVE-2013-1803Wysokie
W PHP-Fusion przed wersją 7.02.06 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atakujący mogą wykorzystać różne parametry w plikach takich jak downloads.php, forum/postedit.php, forum/postnewthread.php oraz administration/settings_messages.php.

Oryginalny opis (angielski, źródło NVD)

Multiple SQL injection vulnerabilities in PHP-Fusion 7.02.07 allow remote authenticated users to execute arbitrary SQL commands via the (1) submit_id parameter in a 2 action to files/administration/submissions.php or (2) status parameter to files/administration/members.php.