CVE-2019-25669
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
qdPM 9.1 jest podatny na iniekcję SQL przez parametr search_by_extrafields[]. Atakujący może manipulować zapytaniami do bazy danych, wysyłając spreparowane żądania POST do endpointu users, co prowadzi do wycieku danych.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść poufne informacje i potencjalnie przejąć kontrolę nad aplikacją.
Rekomendacja
Zaktualizuj qdPM do wersji, w której załatano podatność. Wdróż parametryzację zapytań SQL i walidację danych wejściowych.
Inne podatności w qdPM
Zobacz wszystkie- CVE-2015-3884Wysokie
W qdPM 8.3 występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2015-3881Wysokie
Podatność w qdPM 8.3 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez bezpośrednie żądanie do określonych plików konfiguracyjnych i logów.
Oryginalny opis (angielski, źródło NVD)
qdPM 9.1 contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the search_by_extrafields[] parameter. Attackers can send POST requests to the users endpoint with malicious search_by_extrafields[] values to trigger SQL syntax errors and extract database information.