CVE-2015-3639
WysokieStreszczenie
phpMyBackupPro w wersji 2.5 i wcześniejszych nieprawidłowo sanitizuje ciągi wejściowe, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez zapisanie spreparowanego ciągu w pliku konfiguracyjnym użytkownika.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację phpMyBackupPro do najnowszej wersji, która zawiera poprawki zabezpieczeń oraz wdrożenie odpowiednich mechanizmów kontroli dostępu.
Inne podatności w phpMyBackupPro
Zobacz wszystkie- CVE-2015-3637Wysokie
W phpMyBackupPro w trybie wielo-użytkownikowym przed wersją 2.5 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL poprzez parametry nazwy użytkownika i hasła.
- CVE-2015-4180Wysokie
Podatność na przejście do katalogu w get_file.php w phpMyBackupPro w wersjach 2.1 do 2.4 pozwala zdalnym atakującym na odczyt dowolnych plików poprzez użycie .. (kropka kropka) w parametrze view.
- CVE-2015-3640Wysokie
phpMyBackupPro w wersji 2.5 i wcześniejszych nieprawidłowo obsługuje znak '.' w parametrach żądania, co pozwala zdalnym uwierzytelnionym użytkownikom na wstrzykiwanie i wykonywanie dowolnych skryptów PHP.
- CVE-2015-3638Wysokie
phpMyBackupPro w wersjach przed 2.5 nie waliduje wejścia typu całkowitego, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez wstrzykiwanie skryptów za pomocą parametrów path, filename i period w pliku scheduled.php.
Oryginalny opis (angielski, źródło NVD)
phpMyBackupPro 2.5 and earlier does not properly sanitize input strings, which allows remote authenticated users to execute arbitrary PHP code by storing a crafted string in a user configuration file.