CVE-2018-25338
WysokieStreszczenie
Zechat w wersji 1.5 zawiera podatność na wstrzyknięcie SQL w parametrze hashtag, która pozwala nieautoryzowanym atakującym na wydobycie informacji z bazy danych przy użyciu technik opartych na unii. Atakujący mogą wykorzystać parametr hashtag z ładunkami opartymi na unii, aby uzyskać nazwy tabel i kolumn.
Ocena ryzyka
Podatność ta może prowadzić do ujawnienia wrażliwych informacji z bazy danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Zechat do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich mechanizmów zabezpieczających przed wstrzyknięciem SQL.
Inne podatności w Zechat 1.5
Zobacz wszystkie- CVE-2018-25339Wysokie
Zechat w wersji 1.5 zawiera podatność na wstrzykiwanie SQL w parametrze v, co pozwala nieautoryzowanym atakującym na wydobycie informacji z bazy danych przy użyciu technik opóźnienia czasowego. Atakujący mogą wykorzystać parametr v do potwierdzenia podatności i ekstrakcji danych.
- CVE-2018-25382Wysokie
Zechat 1.5 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wyodrębnienie informacji z bazy danych poprzez wstrzyknięcie kodu SQL w parametrze uname. Atakujący mogą wysyłać spreparowane żądania do pliku profile.php z ładunkami UNION-based SQL injection, aby pobrać nazwy tabel, kolumn i wrażliwe dane z bazy information_schema.
Oryginalny opis (angielski, źródło NVD)
Zechat 1.5 contains a SQL injection vulnerability in the hashtag parameter that allows unauthenticated attackers to extract database information using union-based techniques. Attackers can exploit the hashtag parameter with union-based payloads to retrieve table and column names.