CVE-2023-41364
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W wersjach tine do 2023.01.14.325 parametr sort w punkcie końcowym /index.php umożliwia wstrzyknięcie SQL.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań do bazy danych, co może prowadzić do ujawnienia danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, aby usunąć tę podatność oraz przeglądanie i filtrowanie danych wejściowych w celu zapobiegania wstrzyknięciom SQL.
Inne podatności w /index.php
Zobacz wszystkie- CVE-2023-4112Średnie
W oprogramowaniu PHP Jabbers Shuttle Booking Software w wersji 1.0 zidentyfikowano podatność, która prowadzi do ataków typu cross-site scripting (XSS) poprzez manipulację plikiem /index.php. Atak można przeprowadzić zdalnie.
- CVE-2017-8297Krytyczne
Występuje podatność na przejście ścieżki w simple-file-manager przed 2017-04-26, która dotyczy pliku index.php, będącego jedynym komponentem 'Simple PHP File Manager'.
- CVE-2023-3685Niskie
W podatności CVE-2023-3685 w silniku wyszukiwania Nesote Inout Search Engine AI Edition 1.1 zidentyfikowano problem związany z manipulacją argumentem 'page' w pliku /index.php, co prowadzi do ataku typu cross-site scripting.
Oryginalny opis (angielski, źródło NVD)
In tine through 2023.01.14.325, the sort parameter of the /index.php endpoint allows SQL Injection.