CVE-2025-64084
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W Cloudlog 2.7.5 i wcześniejszych występuje podatność SQL injection wymagająca uwierzytelnienia. Funkcja vucc_details_ajax w application/controllers/Awards.php nie sanityzuje poprawnie parametru POST Gridsquare, co pozwala uwierzytelnionemu atakującemu zdalnie wykonywać dowolne polecenia SQL poprzez wstrzyknięcie złośliwego ładunku do zapytania w funkcji vucc_qso_details.
Ocena ryzyka
Uwierzytelniony atakujący może odczytać lub zmodyfikować dane w bazie danych aplikacji Cloudlog. Może to prowadzić do naruszenia poufności i integralności danych logów radiowych oraz kont użytkowników.
Rekomendacja
Zaktualizuj Cloudlog do wersji nowszej niż 2.7.5, jeśli jest dostępna, lub wdróż poprawkę sanityzującą parametr Gridsquare. Ogranicz dostęp do aplikacji i weryfikuj uprawnienia użytkowników.
Inne podatności w Cloudlog
Oryginalny opis (angielski, źródło NVD)
An authenticated SQL injection vulnerability exists in Cloudlog 2.7.5 and earlier. The vucc_details_ajax function in application/controllers/Awards.php does not properly sanitize the user-supplied Gridsquare POST parameter. This allows a remote, authenticated attacker to execute arbitrary SQL commands by injecting a malicious payload, which is then concatenated directly into a raw SQL query in the vucc_qso_details function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS