CVE-2016-10082

Krytyczne

Opublikowano: 30/12/2016(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Plik include/functions_installer.inc.php w Serendipity do wersji 2.0.5 jest podatny na atak typu File Inclusion oraz potencjalne wykonanie kodu podczas pierwszej instalacji, ponieważ nie sanitizuje parametru dbType w żądaniu POST przed dodaniem go do wywołania include().

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do systemu.

Rekomendacja

Zaleca się aktualizację Serendipity do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy wprowadzić odpowiednie mechanizmy sanitizacji danych wejściowych w aplikacji.

Oryginalny opis (angielski, źródło NVD)

include/functions_installer.inc.php in Serendipity through 2.0.5 is vulnerable to File Inclusion and a possible Code Execution attack during a first-time installation because it fails to sanitize the dbType POST parameter before adding it to an include() call in the bundled-libs/serendipity_generateFTPChecksums.php file.