Aktywnie wykorzystywana w atakach
Fuel CMS SQL Injection Vulnerability
Fuel CMS - Fuel CMS · Figuruje w katalogu CISA KEV od 2021-12-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-17463
KrytyczneCVSS 9.8KEVStreszczenie
FUEL CMS 1.4.7 pozwala na wstrzyknięcie kodu SQL poprzez parametr col w adresach /pages/items, /permissions/items lub /navigation/items. Atakujący może manipulować zapytaniami do bazy danych.
Ocena ryzyka
Wstrzyknięcie SQL może umożliwić atakującemu odczyt, modyfikację lub usunięcie danych z bazy, a w niektórych konfiguracjach także wykonanie poleceń na serwerze.
Rekomendacja
Zaktualizuj FUEL CMS do wersji nowszej niż 1.4.7, gdy będzie dostępna, lub zastosuj poprawki producenta. Ogranicz dostęp do panelu administracyjnego i zweryfikuj poprawność danych wejściowych po stronie aplikacji.
Inne podatności w FUEL CMS
Zobacz wszystkie- CVE-2021-47980Wysokie
Fuel CMS w wersji 1.4.13 zawiera podatność na ślepą injekcję SQL, która pozwala uwierzytelnionym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze 'col' w interfejsie dziennika aktywności.
- CVE-2023-33557Wysokie
W wersji 1.5.2 Fuel CMS odkryto podatność na wstrzyknięcie SQL poprzez parametr id w pliku /controllers/Blocks.php.
Oryginalny opis (angielski, źródło NVD)
FUEL CMS 1.4.7 allows SQL Injection via the col parameter to /pages/items, /permissions/items, or /navigation/items.