CVE-2019-11512

Podatność wynika z nieprawidłowej walidacji lub braku odpowiedniego parametryzowania danych wejściowych przekazywanych do zapytań SQL (CWE-89 — Improper Neutralization of Special Elements used in an SQL Command). Atakujący może wstrzyknąć złośliwe fragmenty kodu SQL, które zostaną wykonane przez serwer bazy danych. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co znacznie obniża próg wejścia dla potencjalnego napastnika.

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, modyfikować lub usuwać dane, a w sprzyjających warunkach konfiguracyjnych doprowadzić do pełnego przejęcia kontroli nad systemem.

Należy niezwłocznie zaktualizować Contao do wersji 4.4.39 lub nowszej (dla gałęzi 4.4 LTS) albo do wersji 4.7.5 lub nowszej (dla gałęzi 4.7). Szczegółowe informacje dostępne są w oficjalnym biuletynie bezpieczeństwa producenta pod adresem: https://contao.org/en/news/security-vulnerability-cve-2019-11512.html

Contao w wersji 4.x (wszystkie wydania gałęzi 4 przed wersjami 4.4.39 i 4.7.5)

Podatność została upubliczniona 9 lipca 2019 roku. Producent wydał poprawki jednocześnie dla dwóch aktywnych gałęzi: 4.4 (LTS) oraz 4.7.