CVE-2018-25319
WysokieStreszczenie
Redaxo CMS Addon MyEvents w wersji 2.2.1 zawiera podatność na wstrzykiwanie SQL, która pozwala uwierzytelnionym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL za pomocą parametru myevents_id.
Ocena ryzyka
Atakujący mogą wysyłać złośliwe żądania GET do strony event_add.php, co umożliwia im ekstrakcję lub modyfikację wrażliwych informacji w bazie danych, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację dodatku MyEvents do najnowszej wersji oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak walidacja i sanitizacja danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Redaxo CMS Addon MyEvents 2.2.1 contains an SQL injection vulnerability that allows authenticated attackers to manipulate database queries by injecting SQL code through the myevents_id parameter. Attackers can send GET requests to the event_add.php page with malicious myevents_id values to extract or modify sensitive database information.