CVE-2015-9226

Wysokie

Opublikowano: 11/09/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Wielokrotne podatności na wstrzykiwanie SQL w AlegroCart 1.2.8 umożliwiają zdalnym administratorom oraz uwierzytelnionym użytkownikom wykonanie dowolnych poleceń SQL poprzez odpowiednie parametry w funkcjach związanych z pobieraniem i aktualizacją zamówień.

Ocena ryzyka

Podatności te mogą prowadzić do nieautoryzowanego dostępu do bazy danych, co stwarza poważne zagrożenie dla integralności i poufności danych organizacji.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji AlegroCart oraz wprowadzenie dodatkowych zabezpieczeń, takich jak walidacja i sanitizacja danych wejściowych.

Inne podatności w AlegroCart 1.2.8

CVE-2015-9227Wysokie
W podatności CVE-2015-9227 w AlegroCart 1.2.8 występuje luka zdalnego dołączania plików w funkcji get_file, co pozwala zdalnym administratorom na wykonanie dowolnego kodu PHP poprzez URL w parametrze file_path.

Oryginalny opis (angielski, źródło NVD)

Multiple SQL injection vulnerabilities in AlegroCart 1.2.8 allow remote administrators to execute arbitrary SQL commands via the download parameter in the (1) check_download and possibly (2) check_filename function in upload/admin2/model/products/model_admin_download.php or remote authenticated users with a valid Paypal transaction token to execute arbitrary SQL commands via the ref parameter in the (3) orderUpdate function in upload/catalog/extension/payment/paypal.php.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS