CVE-2015-1428
WysokieStreszczenie
Wielokrotne podatności na wstrzykiwanie SQL w Sefrengo przed wersją 1.6.2 umożliwiają zdalnym atakującym wykonanie dowolnych poleceń SQL poprzez ciasteczko sefrengo podczas logowania do backend/main.php lub przez parametr value_id w akcji save_value do backend/main.php.
Ocena ryzyka
Podatności te mogą prowadzić do nieautoryzowanego dostępu do bazy danych, co stwarza poważne zagrożenie dla integralności i poufności danych organizacji.
Rekomendacja
Zaleca się aktualizację Sefrengo do wersji 1.6.2 lub nowszej oraz wdrożenie dodatkowych zabezpieczeń, takich jak filtrowanie danych wejściowych.
Inne podatności w Sefrengo
Zobacz wszystkie- CVE-2015-0919Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w zapleczu administracyjnym Sefrengo przed wersją 1.6.1 umożliwiają zdalnym administratorom wykonywanie dowolnych poleceń SQL poprzez parametry (1) idcat lub (2) idclient w pliku backend/main.php.
- CVE-2015-5052Krytyczne
W podatności CVE-2015-5052 występuje luka typu SQL injection w Sefrengo przed wersją 1.6.5 beta2.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL injection vulnerabilities in Sefrengo before 1.6.2 allow (1) remote attackers to execute arbitrary SQL commands via the sefrengo cookie in a login to backend/main.php or (2) remote authenticated users to execute arbitrary SQL commands via the value_id parameter in a save_value action to backend/main.php.