CVE-2017-9741
KrytyczneStreszczenie
W pliku install/make-config.php w ProjectSend r754 występuje podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez manipulację parametrem dbprefix. Problem ten dotyczy zastępowania TABLES_PREFIX w pliku konfiguracyjnym.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego uruchamiania kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych. Organizacje powinny być świadome potencjalnych zagrożeń związanych z nieautoryzowanym dostępem.
Rekomendacja
Zaleca się aktualizację ProjectSend do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy przeprowadzić audyt bezpieczeństwa konfiguracji aplikacji.
Oryginalny opis (angielski, źródło NVD)
install/make-config.php in ProjectSend r754 allows remote attackers to execute arbitrary PHP code via the dbprefix parameter, related to replacing TABLES_PREFIX in the configuration file.