CVE-2017-1002004
WysokieStreszczenie
Podatność w wtyczce WordPress DTracker w wersji 1.5 polega na braku sanitizacji danych wejściowych użytkownika w pliku ./dtracker/download.php. Zmienna id jest dodawana na końcu zapytania SQL bez odpowiedniego przetworzenia.
Ocena ryzyka
Brak sanitizacji danych wejściowych może prowadzić do ataków typu SQL Injection, co zagraża integralności bazy danych oraz bezpieczeństwu aplikacji. Organizacje mogą być narażone na nieautoryzowany dostęp do danych.
Rekomendacja
Zaleca się aktualizację wtyczki DTracker do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo, warto wdrożyć mechanizmy sanitizacji danych wejściowych w aplikacji.
Inne podatności w WordPress plugin DTracker v1.5
Zobacz wszystkie- CVE-2017-1002007Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 pozwala na wstrzykiwanie nowych kontaktów do tabeli wp_contact bez sprawdzenia uprawnień użytkownika.
- CVE-2017-1002006Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 pozwala na dodawanie nowych kontaktów do tabeli wp_contact bez sprawdzania uprawnień użytkownika.
- CVE-2017-1002005Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 polega na braku sanitizacji danych wejściowych w pliku ./dtracker/delete.php. Zmienna contact_id nie jest odpowiednio filtrowana przed dodaniem jej do zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in wordpress plugin DTracker v1.5, In file ./dtracker/download.php user input isn't sanitized via the id variable before adding it to the end of an SQL query.