CVE-2019-10232

SQL injection w GLPI via parametr 'cycle' w skrypcie unlock_tasks.php

CVSS 9.8v3.0pub. 2019-03-27upd. 2024-11-21

Teclib GLPI w wersji do 9.3.3 włącznie zawiera podatność SQL injection w pliku /scripts/unlock_tasks.php, umożliwiającą nieuwierzytelnionemu atakującemu wykonanie dowolnych zapytań do bazy danych. Krytyczny poziom zagrożenia wynika z braku jakichkolwiek wymagań uwierzytelnienia oraz pełnego wpływu na poufność, integralność i dostępność systemu.

▸ Pokaż oryginał (EN)

Teclib GLPI through 9.3.3 has SQL injection via the "cycle" parameter in /scripts/unlock_tasks.php.

🤖 Analiza AI

Jak działa

Podatność polega na braku odpowiedniego walidowania i sanityzacji wartości parametru 'cycle' przekazywanego do skryptu /scripts/unlock_tasks.php. Nieuwierzytelniony atakujący może przesłać spreparowane żądanie HTTP zawierające złośliwy payload SQL, który zostanie bezpośrednio osadzony w wykonywanym zapytaniu do bazy danych. Umożliwia to manipulację logiką zapytań oraz odczyt lub modyfikację danych przechowywanych w bazie systemu GLPI.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie (w tym danych użytkowników i konfiguracji systemu), zmodyfikować lub usunąć dane, a w sprzyjających warunkach doprowadzić do pełnego przejęcia kontroli nad bazą danych i systemem.

Mitygacja

Należy zaktualizować GLPI do wersji zawierającej poprawkę opublikowaną przez producenta. Patch dostępny jest w repozytorium projektu (commit 684d4fc423652ec7dde21cac4d41c2df53f56b3c na GitHub). Zaleca się również ograniczenie dostępu do katalogu /scripts/ na poziomie serwera WWW, jeśli aktualizacja nie może zostać zastosowana natychmiastowo.