CVE-2017-11584
KrytyczneStreszczenie
FineCms w wersji 5.0.9 zawiera podatność na atak SQL Injection poprzez parametr field w żądaniach z akcjami module, member, form lub related do pliku libraries/Template.php.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do bazy danych, co zagraża integralności i poufności danych organizacji.
Rekomendacja
Zaleca się aktualizację FineCms do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie filtracji danych wejściowych w aplikacji.
Inne podatności w FineCms 5.0.9
Zobacz wszystkie- CVE-2017-11200Wysokie
W FineCMS występuje podatność na atak typu SQL Injection, która dotyczy parametru visitor_ip w pliku application/core/controller/excludes.php. Problem ten został zidentyfikowany do 12 lipca 2017 roku.
- CVE-2017-11178Wysokie
W FineCMS do 2017-07-11, plik application/core/controller/style.php umożliwia zdalnym atakującym zapis do dowolnych plików za pomocą parametrów contents i filename w akcji route=style. Może to prowadzić do nadpisania pliku .php, ponieważ nie sprawdzana jest jego rozszerzenie.
- CVE-2017-12774Krytyczne
FineCMS w wersji 1.9.5 w pliku ContentController.php umożliwia zdalnym atakującym manipulację bazą danych witryny.
- CVE-2017-11585Krytyczne
FineCms w wersji 5.0.9 zawiera podatność na zdalne wykonanie kodu PHP poprzez parametr 'param' w żądaniu action=cache do pliku libraries/Template.php, znaną jako Eval Injection.
- CVE-2017-11583Krytyczne
FineCms w wersji 5.0.9 zawiera podatność na atak typu SQL Injection poprzez parametr catid w żądaniu action=related do pliku libraries/Template.php.
- CVE-2017-11582Krytyczne
FineCms w wersji 5.0.9 zawiera podatność na atak typu SQL Injection poprzez parametr num w żądaniach action=related lub action=tags do pliku libraries/Template.php.
- CVE-2017-11167Krytyczne
FineCMS w wersji 2.1.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez wykorzystanie akcji 'Dodaj stronę' w Menedżerze URL, wprowadzając ten kod po sekwencji ', w nazwie domeny.
Oryginalny opis (angielski, źródło NVD)
dayrui FineCms 5.0.9 has SQL Injection via the field parameter in an action=module, action=member, action=form, or action=related request to libraries/Template.php.