CVE-2014-9574
WysokieStreszczenie
Podatność na przejście do katalogu w pliku install.php w FluxBB przed wersją 1.5.8 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików install.php poprzez użycie parametru install_lang z sekwencją .. (kropka kropka).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uruchomienia złośliwego kodu na serwerze, co może prowadzić do kompromitacji systemu i utraty danych.
Rekomendacja
Zaleca się aktualizację FluxBB do wersji 1.5.8 lub nowszej, aby usunąć tę podatność.
Inne podatności w FluxBB
Zobacz wszystkie- CVE-2014-10029Wysokie
W podatności CVE-2014-10029 występuje luka typu SQL injection w pliku profile.php w systemie FluxBB przed wersją 1.4.13 oraz 1.5.x przed wersją 1.5.7. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru req_new_email.
- CVE-2021-43677Średnie
Fluxbb w wersji 1.4.12 zawiera podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
- CVE-2020-28873Wysokie
Fluxbb 1.5.11 jest podatny na atak typu DoS poprzez wysłanie bardzo długiego hasła w formularzu logowania. Proces haszowania takiego hasła prowadzi do wyczerpania zasobów CPU i pamięci serwera.
Oryginalny opis (angielski, źródło NVD)
Directory traversal vulnerability in install.php in FluxBB before 1.5.8 allows remote attackers to include and execute arbitrary local install.php files via a .. (dot dot) in the install_lang parameter.