CVE-2019-16692

SQL injection w phpIPAM 1.4 — moduł custom-fields/filter-result.php

CVSS 9.8v3.1pub. 2019-09-22upd. 2024-11-21

phpIPAM w wersji 1.4 zawiera podatność SQL injection w module zarządzania niestandardowymi polami, umożliwiającą nieuwierzytelnionemu atakującemu manipulację bazą danych. Krytyczny poziom CVSS 9.8 wynika z braku wymagań dotyczących uwierzytelnienia i możliwości pełnego naruszenia poufności, integralności oraz dostępności danych.

▸ Pokaż oryginał (EN)

phpIPAM 1.4 allows SQL injection via the app/admin/custom-fields/filter-result.php table parameter when action=add is used.

🤖 Analiza AI

Jak działa

Podatność występuje w pliku app/admin/custom-fields/filter-result.php, gdzie parametr table przekazywany w żądaniu HTTP nie jest odpowiednio walidowany ani parametryzowany przed użyciem w zapytaniu SQL. Atakujący może wywołać podatny punkt końcowy z parametrem action=add, wstrzykując złośliwy kod SQL w wartości parametru table. Umożliwia to manipulację logiką zapytań wykonywanych po stronie serwera bazodanowego.

Skutki

Atakujący bez żadnego uwierzytelnienia może odczytać, zmodyfikować lub usunąć dane z bazy danych aplikacji phpIPAM, w tym dane wrażliwe dotyczące infrastruktury sieciowej, adresów IP oraz danych użytkowników. W zależności od konfiguracji serwera baz danych możliwe jest również wykonanie poleceń systemowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację phpIPAM do wersji nowszej niż 1.4 oraz ograniczenie dostępu do panelu administracyjnego aplikacji wyłącznie do zaufanych sieci lub adresów IP za pomocą reguł firewall.

Kogo dotyczy

phpIPAM w wersji 1.4

Uwagi

Publicznie dostępny exploit został opublikowany w serwisie Packet Storm Security (packetstormsecurity.com/files/154651/). Podatność została również zgłoszona w publicznym trackerze błędów projektu na GitHub (issue #2738).