CVE-2023-34598
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Gibbon w wersji 25.0.0 jest podatny na atak Local File Inclusion (LFI), co pozwala na dołączenie zawartości kilku plików znajdujących się w folderze instalacyjnym do odpowiedzi serwera.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych informacji przechowywanych w plikach serwera, co może prowadzić do dalszych ataków lub ujawnienia danych.
Rekomendacja
Zaleca się aktualizację Gibbon do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do folderu instalacyjnego.
Inne podatności w Gibbon v25.0.0
Zobacz wszystkie- CVE-2026-8209Średnie
Gibbon przed wersją 30.0.01 zawiera podatność typu path traversal, która może prowadzić do ataku DoS poprzez próbę ekstrakcji plików PHP. Nieudana ekstrakcja .zip powoduje usunięcie pliku i stan DoS. Wymagane są uprawnienia nauczyciela lub wyższe.
- CVE-2026-8208Wysokie
Wersje Gibbon przed v30.0.01 są podatne na lokalne dołączanie plików prowadzące do zdalnego wykonania kodu (RCE) poprzez zmianę katalogu archiwum raportów i wymuszenie interpretacji dostarczonego przez użytkownika pliku .zip jako PHP. Do udanego wykorzystania wymagane są uprawnienia nauczyciela lub wyższe.
- CVE-2026-8207Wysokie
Gibbon przed wersją v30.0.01 zawiera podatność SQL Injection w funkcji Tracking/graphing. Uwierzytelniony użytkownik z uprawnieniami nauczyciela lub wyższymi może wstrzykiwać zapytania SQL, co prowadzi do nieautoryzowanego odczytu i zapisu w bazie danych.
- CVE-2023-34599Średnie
W wersji Gibbon v25.0.0 zidentyfikowano wiele podatności typu Cross-Site Scripting (XSS), które umożliwiają atakującym wykonanie dowolnego kodu Javascript.
- CVE-2022-27305Wysokie
Gibbon v23 nie generuje nowego identyfikatora sesji po zalogowaniu użytkownika, co umożliwia ataki fiksacji sesji. Atakujący może zmusić ofiarę do użycia znanego identyfikatora sesji, a następnie przejąć jej sesję po zalogowaniu.
Oryginalny opis (angielski, źródło NVD)
Gibbon v25.0.0 is vulnerable to a Local File Inclusion (LFI) where it's possible to include the content of several files present in the installation folder in the server's response.