CVE-2015-2183

Wysokie

Opublikowano: 10/03/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Wielokrotne podatności typu SQL injection w panelu administracyjnym ZeusCart 4 umożliwiają zdalnym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr id w akcjach disporders detail, subadminmgt edit oraz parametr cid w akcji editcurrency.

Ocena ryzyka

Atakujący może uzyskać dostęp do wrażliwych danych lub zmodyfikować bazę danych, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji ZeusCart oraz wprowadzenie filtracji i walidacji danych wejściowych w celu zminimalizowania ryzyka ataków SQL injection.

Inne podatności w ZeusCart 4

CVE-2018-25435Średnie
ZeusCart 4.0 zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), umożliwiającą atakującym wykonywanie nieautoryzowanych działań na rzecz ofiar, takich jak dezaktywacja kont klientów poprzez endpoint regstatus z parametrem action=deny.

Oryginalny opis (angielski, źródło NVD)

Multiple SQL injection vulnerabilities in the administrative backend in ZeusCart 4 allow remote administrators to execute arbitrary SQL commands via the id parameter in a (1) disporders detail or (2) subadminmgt edit action or (3) cid parameter in an editcurrency action to admin/.