CVE-2016-9019

Krytyczne

Opublikowano: 07/03/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W podatności CVE-2016-9019 występuje luka typu SQL injection w funkcji activate_address w pliku addressController.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr is_what.

Ocena ryzyka

Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do kradzieży danych lub kompromitacji systemu.

Rekomendacja

Zaleca się aktualizację Exponent CMS do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie filtracji danych wejściowych w celu zapobiegania atakom SQL injection.

Oryginalny opis (angielski, źródło NVD)

SQL injection vulnerability in the activate_address function in framework/modules/addressbook/controllers/addressController.php in Exponent CMS 2.3.9 and earlier allows remote attackers to execute arbitrary SQL commands via the is_what parameter.