CVE-2015-3934
KrytyczneStreszczenie
W Fiyo CMS 2.0_1.9.1 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez parametry 'id' w pliku rating.php lub 'user' w procesie logowania.
Ocena ryzyka
Podatności te mogą prowadzić do nieautoryzowanego dostępu do bazy danych oraz ujawnienia wrażliwych informacji. Organizacje mogą być narażone na utratę danych oraz usunięcie lub modyfikację danych.
Rekomendacja
Zaleca się aktualizację Fiyo CMS do najnowszej wersji, która eliminuje te podatności. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające przed wstrzykiwaniem SQL, takie jak przygotowane zapytania.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL injection vulnerabilities in Fiyo CMS 2.0_1.9.1 allow remote attackers to execute arbitrary SQL commands via the (1) id parameter to apps/app_article/controller/rating.php or (2) user parameter to user/login.