CVE-2024-58309
KrytyczneStreszczenie
xbtitFM 4.1.18 zawiera nieuwierzytelnioną podatność wstrzykiwania SQL, która pozwala zdalnym atakującym manipulować zapytaniami do bazy danych poprzez parametr msgid. Atakujący mogą wysyłać spreparowane żądania do /shoutedit.php z funkcjami EXTRACTVALUE, aby wyodrębnić nazwy baz danych, dane uwierzytelniające użytkowników i hashe haseł.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych, w tym danych logowania i haseł, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się natychmiastową aktualizację xbtitFM do najnowszej wersji oraz wdrożenie walidacji wejściowej i zapytań parametrycznych, aby zapobiec wstrzykiwaniu SQL.
Oryginalny opis (angielski, źródło NVD)
xbtitFM 4.1.18 contains an unauthenticated SQL injection vulnerability that allows remote attackers to manipulate database queries by injecting malicious SQL code through the msgid parameter. Attackers can send crafted requests to /shoutedit.php with EXTRACTVALUE functions to extract database names, user credentials, and password hashes from the underlying database.