CVE-2023-39806
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W systemie iCMS w wersji 7.0.16 wykryto podatność na wstrzykiwanie SQL w funkcji bakupdata. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży, modyfikacji lub usunięcia danych w bazie, co może prowadzić do naruszenia poufności i integralności informacji organizacji.
Rekomendacja
Należy natychmiast zaktualizować system iCMS do najnowszej dostępnej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo zaleca się stosowanie zapór sieciowych i walidację danych wejściowych.
Inne podatności w iCMS
Zobacz wszystkie- CVE-2023-39805Krytyczne
W systemie iCMS w wersji 7.0.16 wykryto podatność na wstrzykiwanie SQL w parametrze 'where' w pliku admincp.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2025-15394Średnie
Wykryto podatność w iCMS do wersji 8.0.0. Funkcja Save w pliku app/config/ConfigAdmincp.php komponentu POST Parameter Handler umożliwia wstrzyknięcie kodu poprzez manipulację argumentem config. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
iCMS v7.0.16 was discovered to contain a SQL injection vulnerability via the bakupdata function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS