CVE-2023-27812
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W bloofox v0.5.2 odkryto podatność umożliwiającą dowolne usuwanie plików za pomocą funkcji delete_file(). Atakujący może wykorzystać tę lukę do usunięcia krytycznych plików systemowych.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia plików konfiguracyjnych lub danych aplikacji, co może prowadzić do przerwania działania systemu lub utraty danych.
Rekomendacja
Zaleca się natychmiastową aktualizację bloofox do najnowszej wersji oraz ograniczenie dostępu do funkcji delete_file() tylko dla zaufanych użytkowników.
Inne podatności w bloofox
Zobacz wszystkie- CVE-2023-34756Krytyczne
W wersji 0.5.2.1 aplikacji bloofox odkryto podatność na wstrzyknięcie SQL poprzez parametr cid w pliku admin/index.php?mode=settings&page=charset&action=edit.
- CVE-2023-34755Krytyczne
W wersji 0.5.2.1 aplikacji bloofox odkryto podatność typu SQL injection, która występuje poprzez parametr userid w pliku admin/index.php?mode=user&action=edit.
- CVE-2023-34754Krytyczne
W wersji 0.5.2.1 aplikacji bloofox odkryto podatność na wstrzyknięcie SQL poprzez parametr pid w pliku admin/index.php?mode=settings&page=plugins&action=edit.
- CVE-2023-34753Krytyczne
W wersji 0.5.2.1 aplikacji bloofox odkryto podatność na wstrzyknięcie SQL poprzez parametr tid w pliku admin/index.php?mode=settings&page=tmpl&action=edit.
- CVE-2023-34752Krytyczne
W systemie bloofox w wersji 0.5.2.1 wykryto podatność na wstrzykiwanie SQL w parametrze lid w skrypcie admin/index.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
- CVE-2023-34751Krytyczne
W wersji 0.5.2.1 aplikacji bloofox odkryto podatność na wstrzyknięcie SQL poprzez parametr gid w pliku admin/index.php?mode=user&page=groups&action=edit.
- CVE-2023-34750Krytyczne
W wersji 0.5.2.1 aplikacji bloofox odkryto podatność typu SQL injection, która występuje poprzez parametr cid w pliku admin/index.php?mode=settings&page=projects&action=edit.
Oryginalny opis (angielski, źródło NVD)
bloofox v0.5.2 was discovered to contain an arbitrary file deletion vulnerability via the delete_file() function.