CVE-2017-9771
KrytyczneStreszczenie
W pliku install/save.php w WebsiteBaker w wersji 2.10.0 istnieje luka, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez parametry database_username, database_host lub database_password.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemem, co może prowadzić do utraty danych lub kompromitacji całej aplikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji WebsiteBaker oraz weryfikację i zabezpieczenie parametrów konfiguracyjnych przed nieautoryzowanym dostępem.
Inne podatności w WebsiteBaker v2.10.0
Zobacz wszystkie- CVE-2021-47788Wysokie
WebsiteBaker 2.13.0 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu, która pozwala użytkownikom z uprawnieniami do edycji języka na wykonanie dowolnego kodu. Atakujący mogą wykorzystać punkt końcowy instalacji języka, manipulując parametrami instalacji, aby osiągnąć zdalne wykonanie kodu na serwerze.
- CVE-2014-9242Wysokie
W podatności CVE-2014-9242 występuje luka typu SQL injection w pliku admin/pages/modify.php w WebsiteBaker 2.8.3, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr page_id.
- CVE-2017-9360Krytyczne
Wersja 2.10.0 WebsiteBaker zawiera podatność na wstrzykiwanie SQL w pliku /account/details.php.
Oryginalny opis (angielski, źródło NVD)
install\save.php in WebsiteBaker v2.10.0 allows remote attackers to execute arbitrary PHP code via the database_username, database_host, or database_password parameter.