CVE-2018-18702

SQL injection w iCMS v7.0.11 poprzez deserializację danych wejściowych

CVSS 9.8v3.0pub. 2018-10-29upd. 2024-11-21

W module spider.admincp.php aplikacji iCMS w wersji 7.0.11 istnieje podatność SQL injection umożliwiająca nieautoryzowanemu atakującemu wykonanie dowolnych zapytań do bazy danych. Podatność jest krytyczna ze względu na brak wymagania uwierzytelnienia oraz pełną kontrolę nad danymi wejściowymi.

▸ Pokaż oryginał (EN)

spider.admincp.php in iCMS v7.0.11 allows SQL injection via admincp.php?app=spider&do=import_rule because the upfile content is base64 decoded, deserialized, and used for database insertion.

🤖 Analiza AI

Jak działa

Podatność występuje w endpoincie admincp.php?app=spider&do=import_rule, gdzie zawartość przesłanego pliku (parametr upfile) jest dekodowana z formatu base64, a następnie deserializowana. Tak przetworzone dane są następnie bezpośrednio wykorzystywane przy operacjach wstawiania rekordów do bazy danych bez odpowiedniej walidacji ani parametryzacji zapytań. Atakujący może spreparować odpowiednio zakodowany payload, który po deserializacji zostanie wstrzyknięty jako złośliwe zapytanie SQL (CWE-89).

Skutki

Atakujący może uzyskać pełen dostęp do bazy danych aplikacji, w tym odczytać, zmodyfikować lub usunąć przechowywane dane, a w zależności od konfiguracji serwera bazy danych potencjalnie przejąć kontrolę nad systemem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu pod adresem https://github.com/idreamsoft/iCMS w celu uzyskania informacji o dostępnych poprawkach. Dodatkowo rekomenduje się ograniczenie dostępu do endpointu admincp.php na poziomie firewall lub serwera WWW.

Kogo dotyczy

iCMS w wersji 7.0.11 firmy iDreamSoft (Icmsdev Icms)

Uwagi

Podatność zgłoszona poprzez system Issues w repozytorium GitHub projektu iCMS (issue #42). Mechanizm ataku łączy deserializację danych base64 z SQL injection, co może utrudniać wykrycie przez standardowe reguły WAF.