CVE-2018-17035

SQL injection w UCMS 1.4.6 podczas instalacji (mysql_dbname)

CVSS 9.8v3.0pub. 2018-09-14upd. 2024-11-21

UCMS 1.4.6 zawiera podatność SQL injection w procesie instalacji aplikacji, która pozwala atakującemu na manipulację zapytaniami do bazy danych. Ze względu na brak wymagania uwierzytelnienia i sieciowy wektor ataku, podatność jest wyjątkowo niebezpieczna.

▸ Pokaż oryginał (EN)

UCMS 1.4.6 has SQL injection during installation via the install/index.php mysql_dbname parameter.

🤖 Analiza AI

Jak działa

Podatność występuje w parametrze mysql_dbname obsługiwanym przez skrypt install/index.php podczas procedury instalacyjnej UCMS. Dane przekazywane przez użytkownika nie są odpowiednio walidowane ani sanityzowane przed włączeniem ich do zapytania SQL, co umożliwia wstrzyknięcie złośliwego kodu SQL. Atakujący może wysłać spreparowane żądanie HTTP do endpointu instalacyjnego bez żadnego uwierzytelnienia.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie danych, zmodyfikować lub usunąć dane, a potencjalnie przejąć kontrolę nad całą aplikacją oraz systemem bazodanowym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się usunięcie lub zablokowanie dostępu do skryptu install/index.php po zakończeniu procesu instalacji, co jest standardową praktyką bezpieczeństwa dla aplikacji webowych.