CVE-2020-26677
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w vFairs 3.3 umożliwia każdemu zalogowanemu użytkownikowi wstrzyknięcie złośliwego zapytania SQL do API. Atakujący może manipulować bazą danych konferencji lub wydarzenia.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych uczestników, modyfikację lub usunięcie informacji o wydarzeniach oraz potencjalne przejęcie kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować vFairs do najnowszej wersji, która zawiera poprawkę dla tej podatności. W międzyczasie ograniczyć dostęp do API tylko dla zaufanych użytkowników.
Inne podatności w vFairs
Zobacz wszystkie- CVE-2020-26680Średnie
W vFairs 3.3 każdy zalogowany użytkownik może modyfikować profil dowolnego innego użytkownika, wstrzykując złośliwy kod JavaScript (XSS). Baza danych przechowuje znaczniki HTML, które są renderowane na stronie, co umożliwia ataki XSS.
- CVE-2020-26679Średnie
Podatność w vFairs 3.3 wynika z nieprawidłowych uprawnień, umożliwiając zalogowanemu użytkownikowi modyfikację profili innych uczestników. Atakujący może zmienić opis lub zdjęcie profilowe dowolnego użytkownika, znając jego unikalny identyfikator.
- CVE-2020-26678Wysokie
Podatność w vFairs 3.3 umożliwia zdalne wykonanie kodu. Każdy zalogowany użytkownik może wykorzystać funkcję przesyłania zdjęcia profilowego do umieszczenia złośliwego pliku PHP na serwerze i uzyskania wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Any user logged in to a vFairs 3.3 virtual conference or event can perform SQL injection with a malicious query to the API.