CVE-2020-24914
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
Podatność w pliku profile.php biblioteki qcubed umożliwia wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych z parametru POST "strProfileData". Niezautoryzowany atakujący może wykorzystać ten błąd do zdalnego wykonania kodu na serwerze.
Ocena ryzyka
Atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę qcubed do wersji, która zawiera poprawkę usuwającą podatność. Jeśli nie jest dostępna, należy zastosować obejście polegające na walidacji i filtrowaniu danych wejściowych przed deserializacją.
Oryginalny opis (angielski, źródło NVD)
A PHP object injection bug in profile.php in qcubed (all versions including 3.1.1) unserializes the untrusted data of the POST-variable "strProfileData" and allows an unauthenticated attacker to execute code via a crafted POST request.