CVE-2023-36284
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Time-Based SQL injection, która wykorzystuje parametry GET: date_from, date_to oraz id_product. Umożliwia to zdalnemu atakującemu ominięcie mechanizmów uwierzytelniania i autoryzacji aplikacji webowej oraz uzyskanie dostępu do zawartości całej bazy danych.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym dostęp do wrażliwych danych przechowywanych w bazie danych, co może prowadzić do utraty poufności informacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Webkul QloApps do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczeń, takich jak filtrowanie danych wejściowych.
Inne podatności w Webkul QloApps 1.6.0
Zobacz wszystkie- CVE-2026-75498Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'Address.php'. Problem został naprawiony w commit 123c97c.
- CVE-2026-75497Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'CustomerMessage.php'. Problem został naprawiony w commit 123c97c.
- CVE-2026-75496Wysokie
Webkul QloApps nie przeprowadza prawidłowej walidacji rozszerzeń plików ani typów MIME przed przeniesieniem pliku do publicznie dostępnego katalogu. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może przesłać pliki wykonywalne i osiągnąć zdalne wykonanie kodu. Problem został naprawiony w commit 153ec1c.
- CVE-2023-36287Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika i podszycie się pod tego użytkownika za pomocą parametru kontrolera POST.
- CVE-2023-36289Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika. Dzięki temu atakujący może podszyć się pod tego użytkownika za pomocą parametrów POST email_create oraz back.
- CVE-2023-36288Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano podatność typu Cross-Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może uzyskać ciasteczko sesji użytkownika i podszyć się pod tego użytkownika za pomocą parametru GET.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated Time-Based SQL injection found in Webkul QloApps 1.6.0 via GET parameter date_from, date_to, and id_product allows a remote attacker to bypass a web application's authentication and authorization mechanisms and retrieve the contents of an entire database.