CVE-2016-7400

Krytyczne

Opublikowano: 07/02/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Wiele podatności typu SQL injection w Exponent CMS przed wersją 2.4.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry, takie jak id, title i content_id.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do wrażliwych danych lub manipulować bazą danych, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację Exponent CMS do wersji 2.4.0 lub nowszej oraz przeglądanie i zabezpieczanie kodu aplikacji pod kątem podatności SQL injection.

Oryginalny opis (angielski, źródło NVD)

Multiple SQL injection vulnerabilities in Exponent CMS before 2.4.0 allow remote attackers to execute arbitrary SQL commands via the (1) id parameter in an activate_address address controller action, (2) title parameter in a show blog controller action, or (3) content_id parameter in a showComments expComment controller action.