CVE-2019-25757
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Joomla vWishlist w wersji 1.0.1 zawiera podatność na wstrzykiwanie SQL, która pozwala uwierzytelnionym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrach vproductid i userid. Atakujący mogą wysyłać żądania POST z przygotowanymi ładunkami SQL w tych parametrach, aby wydobyć wrażliwe informacje z bazy danych, w tym wersje i nazwy baz danych.
Ocena ryzyka
Podatność ta może prowadzić do ujawnienia wrażliwych informacji z bazy danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Umożliwia to atakującym dostęp do krytycznych danych, co może skutkować dalszymi atakami lub naruszeniem prywatności.
Rekomendacja
Zaleca się aktualizację Joomla vWishlist do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczeń, takie jak ograniczenie dostępu do komponentu tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Joomla vWishlist 1.0.1 contains an SQL injection vulnerability that allows authenticated attackers to execute arbitrary SQL queries by injecting malicious code through the vproductid and userid parameters. Attackers can send POST requests to the component with crafted SQL payloads in these parameters to extract sensitive database information including version and database names.