CVE-2020-24913
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w qcubed (wszystkie wersje do 3.1.1) w pliku profile.php przez parametr strQuery umożliwia nieuwierzytelnionemu atakującemu dostęp do bazy danych poprzez wstrzyknięcie kodu SQL za pomocą spreparowanego żądania POST.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane w bazie danych, co prowadzi do naruszenia poufności, integralności i dostępności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować qcubed do najnowszej wersji zawierającej poprawkę lub zastosować tymczasowe zabezpieczenie, takie jak walidacja i sanityzacja parametru strQuery.
Inne podatności w qcubed
Zobacz wszystkie- CVE-2020-24914Krytyczne
Podatność w pliku profile.php biblioteki qcubed umożliwia wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych z parametru POST "strProfileData". Niezautoryzowany atakujący może wykorzystać ten błąd do zdalnego wykonania kodu na serwerze.
- CVE-2020-24912Średnie
W qcubed (wszystkie wersje, w tym 3.1.1) w pliku profile.php występuje odbita podatność na skrypty między witrynami (XSS) przez parametr stQuery. Umożliwia ona nieuwierzytelnionemu atakującemu kradzież sesji uwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in qcubed (all versions including 3.1.1) in profile.php via the strQuery parameter allows an unauthenticated attacker to access the database by injecting SQL code via a crafted POST request.