CVE-2020-26623
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W Gila CMS 1.15.4 i wcześniejszych wykryto podatność na wstrzykiwanie SQL. Zdalny atakujący może wykonać dowolne skrypty webowe poprzez parametr Area w zakładce Administracja>Widgety po zalogowaniu.
Ocena ryzyka
Atakujący po zalogowaniu może wykorzystać tę podatność do kradzieży danych, modyfikacji bazy danych lub eskalacji uprawnień, co zagraża poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować Gila CMS do wersji nowszej niż 1.15.4, która zawiera poprawkę eliminującą podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
SQL Injection vulnerability discovered in Gila CMS 1.15.4 and earlier allows a remote attacker to execute arbitrary web scripts via the Area parameter under the Administration>Widget tab after the login portal.