CVE-2015-3640
WysokieStreszczenie
phpMyBackupPro w wersji 2.5 i wcześniejszych nieprawidłowo obsługuje znak '.' w parametrach żądania, co pozwala zdalnym uwierzytelnionym użytkownikom na wstrzykiwanie i wykonywanie dowolnych skryptów PHP.
Ocena ryzyka
Organizacja może być narażona na wykonanie złośliwego kodu przez użytkowników, którzy mają dostęp do katalogów na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację phpMyBackupPro do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich środków zabezpieczających dostęp do katalogów na serwerze.
Inne podatności w phpMyBackupPro
Zobacz wszystkie- CVE-2015-3637Wysokie
W phpMyBackupPro w trybie wielo-użytkownikowym przed wersją 2.5 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL poprzez parametry nazwy użytkownika i hasła.
- CVE-2015-4180Wysokie
Podatność na przejście do katalogu w get_file.php w phpMyBackupPro w wersjach 2.1 do 2.4 pozwala zdalnym atakującym na odczyt dowolnych plików poprzez użycie .. (kropka kropka) w parametrze view.
- CVE-2015-3639Wysokie
phpMyBackupPro w wersji 2.5 i wcześniejszych nieprawidłowo sanitizuje ciągi wejściowe, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez zapisanie spreparowanego ciągu w pliku konfiguracyjnym użytkownika.
- CVE-2015-3638Wysokie
phpMyBackupPro w wersjach przed 2.5 nie waliduje wejścia typu całkowitego, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez wstrzykiwanie skryptów za pomocą parametrów path, filename i period w pliku scheduled.php.
Oryginalny opis (angielski, źródło NVD)
phpMyBackupPro 2.5 and earlier does not properly escape the "." character in request parameters, which allows remote authenticated users with knowledge of a web-accessible and web-writeable directory on the target system to inject and execute arbitrary PHP scripts by injecting scripts via the path, filename, and dirs parameters to scheduled.php, and making requests to injected scripts.