CVE-2015-0919
WysokieStreszczenie
Wielokrotne podatności na wstrzykiwanie SQL w zapleczu administracyjnym Sefrengo przed wersją 1.6.1 umożliwiają zdalnym administratorom wykonywanie dowolnych poleceń SQL poprzez parametry (1) idcat lub (2) idclient w pliku backend/main.php.
Ocena ryzyka
Podatności te mogą prowadzić do nieautoryzowanego dostępu do bazy danych oraz manipulacji danymi, co stwarza poważne zagrożenie dla integralności i poufności informacji w organizacji.
Rekomendacja
Zaleca się aktualizację Sefrengo do wersji 1.6.1 lub nowszej oraz wdrożenie dodatkowych zabezpieczeń, takich jak filtrowanie danych wejściowych.
Inne podatności w Sefrengo
Zobacz wszystkie- CVE-2015-1428Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w Sefrengo przed wersją 1.6.2 umożliwiają zdalnym atakującym wykonanie dowolnych poleceń SQL poprzez ciasteczko sefrengo podczas logowania do backend/main.php lub przez parametr value_id w akcji save_value do backend/main.php.
- CVE-2015-5052Krytyczne
W podatności CVE-2015-5052 występuje luka typu SQL injection w Sefrengo przed wersją 1.6.5 beta2.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL injection vulnerabilities in the administrative backend in Sefrengo before 1.6.1 allow remote administrators to execute arbitrary SQL commands via the (1) idcat or (2) idclient parameter to backend/main.php.