CVE-2017-5879
KrytyczneStreszczenie
W Exponent CMS 2.4.1 odkryto problem związany z niewidoczną injekcją SQL, która może być wykorzystana przez nieautoryzowanych użytkowników za pomocą żądania HTTP GET. Wykorzystanie tej podatności pozwala na wyciek danych z bazy danych do złośliwego serwera.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa danych organizacji, umożliwiając atakującym dostęp do wrażliwych informacji w bazie danych.
Rekomendacja
Zaleca się aktualizację Exponent CMS do najnowszej wersji oraz wdrożenie odpowiednich zabezpieczeń, aby zminimalizować ryzyko ataków typu SQL injection.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Exponent CMS 2.4.1. This is a blind SQL injection that can be exploited by un-authenticated users via an HTTP GET request and which can be used to dump database data out to a malicious server, using an out-of-band technique, such as select_loadfile(). The vulnerability affects source_selector.php and the following parameter: src.