CVE-2017-17899
KrytyczneStreszczenie
W Dolibarr ERP/CRM w wersji 6.0.4 występuje podatność na wstrzykiwanie SQL w pliku adherents/subscription/info.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr rowid.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację Dolibarr ERP/CRM do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych zabezpieczeń, takich jak walidacja danych wejściowych.
Inne podatności w Dolibarr ERP/CRM version 6.0.4
Zobacz wszystkie- CVE-2017-14240Wysokie
W Dolibarr ERP/CRM w wersji 6.0.0 występuje podatność na ujawnienie wrażliwych informacji w pliku document.php poprzez parametr file.
- CVE-2017-17900Krytyczne
Wersja 6.0.4 systemu Dolibarr ERP/CRM zawiera podatność na wstrzykiwanie SQL w pliku fourn/index.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr socid.
- CVE-2017-17897Krytyczne
Podatność typu SQL injection w pliku comm/multiprix.php w Dolibarr ERP/CRM w wersji 6.0.4 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
- CVE-2017-14238Krytyczne
Podatność typu SQL injection w pliku admin/menus/edit.php w Dolibarr ERP/CRM w wersji 6.0.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr menuId.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in adherents/subscription/info.php in Dolibarr ERP/CRM version 6.0.4 allows remote attackers to execute arbitrary SQL commands via the rowid parameter.