CVE-2017-15875
KrytyczneStreszczenie
W podatności CVE-2017-15875 występuje luka w zabezpieczeniach związana z wstrzykiwaniem SQL w funkcji odzyskiwania hasła w GPWeb 8.4.61. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru 'checkemail'.
Ocena ryzyka
Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do wrażliwych danych w bazie danych, co może prowadzić do poważnych naruszeń bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji GPWeb, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczających przed wstrzykiwaniem SQL.
Inne podatności w GPWeb 8.4.61
Zobacz wszystkie- CVE-2017-15876Wysokie
Podatność na nieograniczone przesyłanie plików w GPWeb 8.4.61 pozwala zdalnym uwierzytelnionym użytkownikom na przesyłanie dowolnego typu pliku, w tym powłoki PHP.
- CVE-2017-15877Krytyczne
W podatności CVE-2017-15877 w pliku db.php w GPWeb 8.4.61 występują niebezpieczne uprawnienia, które pozwalają zdalnym atakującym na przeglądanie bazy danych haseł i użytkowników.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in Password Recovery in GPWeb 8.4.61 allows remote attackers to execute arbitrary SQL commands via the "checkemail" parameter.