CVE-2018-25339
WysokieStreszczenie
Zechat w wersji 1.5 zawiera podatność na wstrzykiwanie SQL w parametrze v, co pozwala nieautoryzowanym atakującym na wydobycie informacji z bazy danych przy użyciu technik opóźnienia czasowego. Atakujący mogą wykorzystać parametr v do potwierdzenia podatności i ekstrakcji danych.
Ocena ryzyka
Podatność ta może prowadzić do ujawnienia wrażliwych informacji z bazy danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Zechat do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich środków zabezpieczających przed wstrzykiwaniem SQL.
Inne podatności w Zechat 1.5
Zobacz wszystkie- CVE-2018-25338Wysokie
Zechat w wersji 1.5 zawiera podatność na wstrzyknięcie SQL w parametrze hashtag, która pozwala nieautoryzowanym atakującym na wydobycie informacji z bazy danych przy użyciu technik opartych na unii. Atakujący mogą wykorzystać parametr hashtag z ładunkami opartymi na unii, aby uzyskać nazwy tabel i kolumn.
- CVE-2018-25382Wysokie
Zechat 1.5 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wyodrębnienie informacji z bazy danych poprzez wstrzyknięcie kodu SQL w parametrze uname. Atakujący mogą wysyłać spreparowane żądania do pliku profile.php z ładunkami UNION-based SQL injection, aby pobrać nazwy tabel, kolumn i wrażliwe dane z bazy information_schema.
Oryginalny opis (angielski, źródło NVD)
Zechat 1.5 contains a SQL injection vulnerability in the v parameter that allows unauthenticated attackers to extract database information using time-based blind techniques. Attackers can exploit the v parameter with sleep-based blind injection to confirm vulnerability and extract data.