CVE-2023-39344
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W projekcie social-media-skeleton występuje podatność na wstrzykiwanie SQL, która umożliwia ataki oparte na UNION, co pośrednio prowadzi do zdalnego wykonania kodu. Została wprowadzona poprawka w commicie 3cabdd35c3d874608883c9eaf9bf69b2014d25c1.
Ocena ryzyka
Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa, w tym zdalnego wykonania kodu, co stwarza zagrożenie dla integralności systemu i danych organizacji.
Rekomendacja
Zaleca się jak najszybsze zastosowanie poprawki zawartej w commicie 3cabdd35c3d874608883c9eaf9bf69b2014d25c1 oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w social-media-skeleton
Zobacz wszystkie- CVE-2023-40174Średnie
Podatność CVE-2023-40174 dotyczy projektu Social media skeleton, który nieprawidłowo zarządza cyklem życia sesji użytkownika. Wersje przed 1.0.5 nie ograniczały odpowiednio czasu trwania sesji, co stwarza ryzyko nieautoryzowanego dostępu.
- CVE-2023-40173Wysokie
Social Media Skeleton przed wersją 1.0.5 nie stosował odpowiedniego solenia haseł, co narażało je na łamanie w przypadku uzyskania dostępu do zhashowanych haseł przez atakującego.
- CVE-2023-40172Średnie
Podatność CVE-2023-40172 dotyczy projektu Social media skeleton, który przed wersją 1.0.5 nie ograniczał odpowiednio ataków typu Cross-site request forgery (CSRF). Atakujący mógł oszukać ofiarę, zmuszając ją do wykonania niezamierzonej akcji na stronie internetowej.
- CVE-2023-39518Średnie
Projekt social-media-skeleton, stworzony w PHP, MySQL, CSS, JavaScript i HTML, zawiera podatność na przechowywane ataki XSS w wersjach od 1.0.0 do 1.0.3. Problem został naprawiony w wersji 1.0.3.
Oryginalny opis (angielski, źródło NVD)
social-media-skeleton is an uncompleted social media project. A SQL injection vulnerability in the project allows UNION based injections, which indirectly leads to remote code execution. Commit 3cabdd35c3d874608883c9eaf9bf69b2014d25c1 contains a fix for this issue.