CVE-2020-24913
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w qcubed (wszystkie wersje do 3.1.1) w pliku profile.php przez parametr strQuery umożliwia nieuwierzytelnionemu atakującemu dostęp do bazy danych poprzez wstrzyknięcie kodu SQL za pomocą spreparowanego żądania POST.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane w bazie danych, co prowadzi do naruszenia poufności, integralności i dostępności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować qcubed do najnowszej wersji zawierającej poprawkę lub zastosować tymczasowe zabezpieczenie, takie jak walidacja i sanityzacja parametru strQuery.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in qcubed (all versions including 3.1.1) in profile.php via the strQuery parameter allows an unauthenticated attacker to access the database by injecting SQL code via a crafted POST request.