CVE-2018-25398
WysokieStreszczenie
Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrze frm_passwd. Atakujący mogą wysyłać żądania POST do main.php z odpowiednio przygotowanymi ładunkami SQL, aby wydobyć wrażliwe informacje z bazy danych, w tym nazwy użytkowników, nazwy baz danych oraz szczegóły wersji.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym dostęp do poufnych danych, co może prowadzić do naruszenia prywatności i utraty zaufania klientów. Wydobycie informacji o bazach danych może również prowadzić do dalszych ataków na systemy organizacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania do najnowszej wersji, która usuwa tę podatność. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające, takie jak filtrowanie danych wejściowych oraz ograniczenie dostępu do krytycznych zasobów bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Open ISES Project 3.30A contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the frm_passwd parameter. Attackers can send POST requests to main.php with crafted SQL payloads to extract sensitive database information including usernames, database names, and version details.