CVE-2018-25391
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w HaPe PKH 1.1 pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych rekordów poprzez wysłanie spreparowanego żądania zawierającego identyfikator celu. Punkty końcowe admin/modul/mod_pengurus/aksi_pengurus.php i admin/modul/mod_update/aksi_update.php nie weryfikują uprawnień przed wykonaniem operacji usuwania.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane usunięcie rekordów administratorów i aktualizacji, co może prowadzić do utraty danych i zakłócenia działania systemu.
Rekomendacja
Należy natychmiast zaktualizować HaPe PKH do najnowszej wersji lub zastosować łatkę zabezpieczającą, która wymusza autoryzację na punktach końcowych usuwania rekordów.
Inne podatności w HaPe PKH
Zobacz wszystkie- CVE-2018-25390Wysokie
Podatność SQL Injection w HaPe PKH 1.1 umożliwia nieuwierzytelnionym atakującym manipulowanie zapytaniami do bazy danych poprzez wstrzyknięcie kodu SQL w parametrze 'desa' przesyłanym do skryptu lap-peserta-perdesa-pdf.php. Atakujący może wysłać spreparowane żądanie z czasowym payloadem typu blind, aby wyodrębnić wrażliwe dane z bazy.
- CVE-2018-25389Wysokie
Podatność SQL Injection w HaPe PKH 1.1 umożliwia nieuwierzytelnionym atakującym manipulację zapytaniami do bazy danych poprzez wstrzyknięcie kodu SQL w parametrze 'nama_kelompok' przesyłanym do skryptu lap-anggota-kelompok-pdf.php. Atakujący może wysłać spreparowane żądanie z ładunkiem czasowym, aby wydobyć wrażliwe dane z bazy.
- CVE-2018-25388Wysokie
HaPe PKH 1.1 zawiera podatność na dowolne przesyłanie plików, która umożliwia uwierzytelnionym atakującym ominięcie walidacji typu pliku i przesłanie złośliwych plików. Poprzez endpointy aksi_foto.php, aksi_user.php oraz aksi_kecamatan.php mogą oni przesłać pliki PHP i wykonać dowolny kod na serwerze.
- CVE-2018-25387Średnie
HaPe PKH 1.1 zawiera podatność na Cross‑Site Request Forgery (CSRF), która pozwala atakującym na zmianę haseł administratora poprzez wysłanie sfałszowanych żądań do endpointu aktualizacji użytkownika. Atakujący mogą tworzyć złośliwe formularze kierowane do skryptu aksi_user.php z parametrami id_user, password i level, aby zmodyfikować dane logowania administratora bez autoryzacji.
- CVE-2018-25386Wysokie
Aplikacja HaPe PKH 1.1 zawiera wiele podatności na wstrzykiwanie SQL w pliku admin/media.php, umożliwiających manipulację zapytaniami do bazy danych poprzez parametr 'id'. Niezautoryzowany atakujący może wykorzystać moduł desa, a uwierzytelnieni użytkownicy moduły pengurus, fasilitas i kelompok, co prowadzi do wycieku wrażliwych danych, takich jak bieżący użytkownik, nazwa bazy danych i wersja DBMS.
Oryginalny opis (angielski, źródło NVD)
HaPe PKH 1.1 fails to enforce authorization on its record deletion endpoints, allowing unauthenticated attackers to delete arbitrary records by sending a crafted request that specifies the target record's id. The admin/modul/mod_pengurus/aksi_pengurus.php (module=pengurus&act=hapus) and admin/modul/mod_update/aksi_update.php (module=update&act=hapus) endpoints process deletions without verifying the requester's privileges, enabling removal of pengurus (administrator) and update records.