CVE-2015-3637
WysokieStreszczenie
W phpMyBackupPro w trybie wielo-użytkownikowym przed wersją 2.5 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL poprzez parametry nazwy użytkownika i hasła.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do bazy danych, co może prowadzić do ujawnienia wrażliwych informacji lub modyfikacji danych.
Rekomendacja
Zaleca się aktualizację phpMyBackupPro do wersji 2.5 lub nowszej, aby usunąć tę podatność.
Inne podatności w phpMyBackupPro
Zobacz wszystkie- CVE-2015-4180Wysokie
Podatność na przejście do katalogu w get_file.php w phpMyBackupPro w wersjach 2.1 do 2.4 pozwala zdalnym atakującym na odczyt dowolnych plików poprzez użycie .. (kropka kropka) w parametrze view.
- CVE-2015-3640Wysokie
phpMyBackupPro w wersji 2.5 i wcześniejszych nieprawidłowo obsługuje znak '.' w parametrach żądania, co pozwala zdalnym uwierzytelnionym użytkownikom na wstrzykiwanie i wykonywanie dowolnych skryptów PHP.
- CVE-2015-3639Wysokie
phpMyBackupPro w wersji 2.5 i wcześniejszych nieprawidłowo sanitizuje ciągi wejściowe, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez zapisanie spreparowanego ciągu w pliku konfiguracyjnym użytkownika.
- CVE-2015-3638Wysokie
phpMyBackupPro w wersjach przed 2.5 nie waliduje wejścia typu całkowitego, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez wstrzykiwanie skryptów za pomocą parametrów path, filename i period w pliku scheduled.php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in phpMyBackupPro when run in multi-user mode before 2.5 allows remote attackers to execute arbitrary SQL commands via the username and password parameters.