CVE-2014-9464
WysokieStreszczenie
W Microweber CMS w wersji 0.95 przed 20141209 występuje podatność na wstrzykiwanie SQL w pliku Category.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr category.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do bazy danych oraz ujawnienia wrażliwych informacji, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Microweber CMS do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w Microweber CMS 0.95
Zobacz wszystkie- CVE-2026-67617Średnie
Microweber CMS do wersji 2.0.20 zawiera podatność na trwałe XSS w systemie tagowania treści. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript przez parametr tag_names w endpoint GET /api/save_content_admin, omijając trzy niezależne mechanizmy sanityzacji. Wstrzyknięty skrypt wykonuje się bez interakcji użytkownika dla każdego odwiedzającego publiczną stronę bloga oraz w edytorze postów admina.
- CVE-2026-65693Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Uwierzytelniony administrator może uzyskać zdalne wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie wyrażeń Twig do szablonów poczty.
- CVE-2026-65694Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność path traversal w kontrolerze plików statycznych. Nieuwierzytelniony atakujący może odczytać dowolne pliki, podając sekwencje traversal w parametrze path.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in Category.php in Microweber CMS 0.95 before 20141209 allows remote attackers to execute arbitrary SQL commands via the category parameter when displaying a category, related to the $parent_id variable.