CVE-2017-7581
KrytyczneStreszczenie
Podatność SQL injection w NewsController.php w module News w wersji 5.3.2 i wcześniejszych dla TYPO3 pozwala nieautoryzowanym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez manipulację parametrami overwriteDemand dla zamówienia i OrderByAllowed.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji TYPO3 oraz wprowadzenie odpowiednich filtrów i zabezpieczeń w celu ochrony przed atakami SQL injection.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in NewsController.php in the News module 5.3.2 and earlier for TYPO3 allows unauthenticated users to execute arbitrary SQL commands via vectors involving overwriteDemand for order and OrderByAllowed.