CVE-2021-47980
WysokieStreszczenie
Fuel CMS w wersji 1.4.13 zawiera podatność na ślepą injekcję SQL, która pozwala uwierzytelnionym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze 'col' w interfejsie dziennika aktywności.
Ocena ryzyka
Atakujący mogą wysyłać złośliwe żądania do punktu końcowego dzienników, co może prowadzić do ujawnienia informacji z bazy danych na podstawie opóźnień czasowych odpowiedzi.
Rekomendacja
Zaleca się aktualizację Fuel CMS do najnowszej wersji oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak filtrowanie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Fuel CMS 1.4.13 contains a blind SQL injection vulnerability that allows authenticated attackers to manipulate database queries by injecting SQL code through the 'col' parameter in the Activity Log interface. Attackers can send requests to the logs endpoint with malicious SQL payloads in the 'col' parameter to extract database information based on response time delays.