CVE-2018-18200

SQL injection w module Benutzerverwaltung systemu REDAXO CMS

CVSS 9.8v3.0pub. 2018-10-09upd. 2024-11-21

W systemie zarządzania treścią REDAXO, w module Benutzerverwaltung (zarządzanie użytkownikami), wykryto podatność typu SQL injection. Błąd otrzymał ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość pełnego przejęcia kontroli nad bazą danych bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

There is a SQL injection in Benutzerverwaltung in REDAXO before 5.6.4.

🤖 Analiza AI

Jak działa

Podatność polega na braku odpowiedniej walidacji lub parametryzacji danych wejściowych przekazywanych do zapytań SQL w module zarządzania użytkownikami. Atakujący może wstrzyknąć złośliwy kod SQL poprzez sieć, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Wektor ataku jest sieciowy, a złożoność ataku niska, co czyni podatność szczególnie łatwą do wykorzystania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych, modyfikować lub usuwać zawartość bazy danych, a w zależności od konfiguracji serwera potencjalnie przejąć pełną kontrolę nad systemem. Podatność zagraża poufności, integralności oraz dostępności danych.

Mitygacja

Należy zaktualizować REDAXO do wersji 5.6.4 lub nowszej, w której podatność została usunięta. Szczegóły aktualizacji dostępne są w oficjalnych notatkach wydania na stronie: https://github.com/redaxo/redaxo/releases/tag/5.6.4