CVE-2019-25662

WysokieCVSS 8.2

Opublikowano: 05/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

ResourceSpace 8.6 zawiera podatność na iniekcję SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametrze 'ref'. Atakujący mogą wysyłać żądania GET do punktu końcowego watched_searches.php ze spreparowanymi ładunkami SQL.

Ocena ryzyka

Udane wykorzystanie umożliwia wyodrębnienie wrażliwych danych z bazy, w tym nazw użytkowników i haseł, co może prowadzić do pełnego przejęcia systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację ResourceSpace do najnowszej wersji oraz zastosowanie poprawek bezpieczeństwa. Należy również rozważyć użycie zapory aplikacyjnej (WAF) do blokowania ataków SQL Injection.

Inne podatności w ResourceSpace

CVE-2015-6915Wysokie
W podatności CVE-2015-6915 występuje luka typu SQL injection w ResourceSpace w wersji 7.3.7009 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez ciasteczko 'user' w pliku feedback.php.

Oryginalny opis (angielski, źródło NVD)

ResourceSpace 8.6 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the 'ref' parameter. Attackers can send GET requests to the watched_searches.php endpoint with crafted SQL payloads to extract sensitive database information including usernames and credentials.