CVE-2016-7788
KrytyczneStreszczenie
W Exponent CMS w wersji 2.3.9 i wcześniejszych występuje podatność na wstrzyknięcie SQL w pliku framework/modules/users/models/user.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr nazwy użytkownika.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do kradzieży danych lub kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację Exponent CMS do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych zabezpieczeń, takich jak walidacja danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in framework/modules/users/models/user.php in Exponent CMS 2.3.9 and earlier allows remote attackers to execute arbitrary SQL commands via the username parameter.