CVE-2017-11161

Wielokrotne SQL injection w Synology Photo Station

CVSS 9.8v3.0pub. 2017-09-08upd. 2026-05-13

W aplikacji Synology Photo Station wykryto wiele podatności typu SQL injection, które umożliwiają zdalnym nieuwierzytelnionym atakującym wykonanie dowolnych poleceń SQL. Ze względu na brak wymogu uwierzytelnienia i pełną triadę CIA podatność klasyfikowana jest jako krytyczna.

▸ Pokaż oryginał (EN)

Multiple SQL injection vulnerabilities in Synology Photo Station before 6.7.4-3433 and 6.3-2968 allow remote attackers to execute arbitrary SQL commands via the (1) article_id parameter to label.php; or (2) type parameter to synotheme.php.

🤖 Analiza AI

Jak działa

Atakujący może wysłać specjalnie spreparowane żądanie HTTP do aplikacji, przekazując złośliwy payload w parametrze 'article_id' pliku label.php lub parametrze 'type' pliku synotheme.php. Dane wejściowe nie są odpowiednio walidowane ani sanityzowane przed użyciem w zapytaniach SQL, co pozwala na wstrzyknięcie i wykonanie dowolnych poleceń bazodanowych po stronie serwera. Exploit nie wymaga uwierzytelnienia ani interakcji użytkownika.

Skutki

Atakujący może odczytywać, modyfikować lub usuwać dane w bazie danych aplikacji, a w zależności od konfiguracji serwera potencjalnie przejąć kontrolę nad systemem, na którym działa Synology Photo Station.

Mitygacja

Należy zaktualizować Synology Photo Station do wersji 6.7.4-3433 lub nowszej (dla gałęzi 6.7.x) albo do wersji 6.3-2968 lub nowszej (dla gałęzi 6.3.x). Szczegółowe informacje dostępne są w biuletynie bezpieczeństwa Synology SA-17:35.