CVE-2022-40839
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w parametrach height i width w NdkAdvancedCustomizationFields v3.5.0 umożliwia nieuwierzytelnionym atakującym wyodrębnienie danych z bazy danych.
Ocena ryzyka
Atakujący może wykraść wrażliwe dane z bazy danych, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować NdkAdvancedCustomizationFields do najnowszej wersji oraz zastosować parametryzację zapytań SQL dla parametrów height i width.
Inne podatności w NdkAdvancedCustomizationFields
Zobacz wszystkie- CVE-2022-40842Krytyczne
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) poprzez plik rotateimg.php. Atakujący może wykorzystać tę podatność do wysyłania żądań z serwera do wewnętrznych zasobów sieciowych.
- CVE-2022-40841Średnie
Podatność na skryptowanie między witrynami (XSS) w NdkAdvancedCustomizationFields v3.5.0 umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanych danych do parametru 'htmlNodes'.
- CVE-2022-40840Średnie
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla ndk design zawiera podatność na ataki XSS w pliku createPdf.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in the height and width parameter in NdkAdvancedCustomizationFields v3.5.0 allows unauthenticated attackers to exfiltrate database data.