CVE-2021-47788
WysokieStreszczenie
WebsiteBaker 2.13.0 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu, która pozwala użytkownikom z uprawnieniami do edycji języka na wykonanie dowolnego kodu. Atakujący mogą wykorzystać punkt końcowy instalacji języka, manipulując parametrami instalacji, aby osiągnąć zdalne wykonanie kodu na serwerze.
Ocena ryzyka
Ryzyko obejmuje możliwość pełnego przejęcia serwera przez uwierzytelnionego użytkownika, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się ograniczenie uprawnień do edycji języka tylko zaufanym administratorom oraz zastosowanie dostępnych poprawek lub aktualizacji do nowszej wersji.
Inne podatności w WebsiteBaker
Zobacz wszystkie- CVE-2014-9242Wysokie
W podatności CVE-2014-9242 występuje luka typu SQL injection w pliku admin/pages/modify.php w WebsiteBaker 2.8.3, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr page_id.
- CVE-2017-9771Krytyczne
W pliku install/save.php w WebsiteBaker w wersji 2.10.0 istnieje luka, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez parametry database_username, database_host lub database_password.
- CVE-2017-9360Krytyczne
Wersja 2.10.0 WebsiteBaker zawiera podatność na wstrzykiwanie SQL w pliku /account/details.php.
Oryginalny opis (angielski, źródło NVD)
WebsiteBaker 2.13.0 contains an authenticated remote code execution vulnerability that allows users with language editing permissions to execute arbitrary code. Attackers can exploit the language installation endpoint by manipulating language installation parameters to achieve remote code execution on the server.