CVE-2017-14512
KrytyczneStreszczenie
NexusPHP w wersji 1.5.beta5.20120707 zawiera podatność na atak typu SQL Injection w pliku forummanage.php poprzez parametr sort w akcji editforum. Jest to inna podatność niż CVE-2017-12981.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do bazy danych oraz ujawnienia wrażliwych informacji. Organizacje powinny być świadome ryzyka związanego z nieodpowiednim zabezpieczeniem aplikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji NexusPHP oraz wprowadzenie odpowiednich filtrów i walidacji danych wejściowych, aby zminimalizować ryzyko ataków SQL Injection.
Inne podatności w NexusPHP 1.5.beta5.20120707
Zobacz wszystkie- CVE-2017-12838Wysokie
Podatność CSRF w NexusPHP 1.5 umożliwia zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla określonych żądań, takich jak wysyłanie manas lub dodawanie administratorów.
- CVE-2017-14076Krytyczne
W NexusPHP w wersji 1.5.beta5.20120707 występuje podatność na atak typu SQL Injection poprzez parametr id w pliku linksmanage.php w akcji editlink.
- CVE-2017-14069Krytyczne
W NexusPHP w wersji 1.5.beta5.20120707 występuje podatność na atak typu SQL Injection poprzez parametr tablicy usernw w pliku nowarn.php.
- CVE-2017-13669Krytyczne
W NexusPHP w wersji 1.5.beta5.20120707 występuje podatność na atak typu SQL Injection poprzez parametr setanswered w pliku staffbox.php.
- CVE-2017-12679Krytyczne
W NexusPHP w wersji 1.5.beta5.20120707 występuje podatność na atak typu SQL Injection poprzez parametr delcheater w pliku cheaterbox.php.
- CVE-2017-12981Krytyczne
NexusPHP w wersji 1.5.beta5.20120707 zawiera podatność na atak typu SQL Injection w pliku forummanage.php poprzez parametr sort w akcji addforum.
- CVE-2017-12776Krytyczne
Podatność na wstrzykiwanie SQL w pliku reports.php w NexusPHP 1.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru delreport.
- CVE-2017-12910Krytyczne
W podatności CVE-2017-12910 w pliku massmail.php w NexusPHP 1.5 występuje luka typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru or.
- CVE-2017-12909Krytyczne
W modtask.php w NexusPHP 1.5 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr userid.
- CVE-2017-12908Krytyczne
Podatność na wstrzykiwanie SQL w pliku takeconfirm.php w NexusPHP 1.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru conusr.
Oryginalny opis (angielski, źródło NVD)
NexusPHP 1.5.beta5.20120707 has SQL Injection in forummanage.php via the sort parameter in an editforum action, a different vulnerability than CVE-2017-12981.