CVE-2017-20274
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Joomla LMS King Professional w wersji 3.2.4.0 zawiera podatność na wstrzykiwanie SQL, która umożliwia nieautoryzowanym atakującym manipulację zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL za pomocą parametru cp_id.
Ocena ryzyka
Atakujący mogą wysyłać żądania GET do index.php, co pozwala na wydobycie wrażliwych informacji z bazy danych, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Joomla LMS King Professional do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak filtrowanie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Joomla LMS King Professional 3.2.4.0 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the cp_id parameter. Attackers can send GET requests to index.php with the option=com_lmsking, view=lmsking, layout=learningpath, and task=learningPath parameters to extract sensitive database information.