CVE-2019-16693

SQL injection w phpIPAM 1.4 via parametr 'table' w module custom-fields

CVSS 9.8v3.1pub. 2019-09-22upd. 2025-04-16

phpIPAM w wersji 1.4 zawiera podatność SQL injection w module zarządzania polami niestandardowymi, umożliwiającą nieautoryzowanemu atakującemu manipulację bazą danych. Ze względu na brak wymagań uwierzytelnienia i sieciowy wektor ataku, podatność jest klasyfikowana jako krytyczna.

▸ Pokaż oryginał (EN)

phpIPAM 1.4 allows SQL injection via the app/admin/custom-fields/order.php table parameter when action=add is used.

🤖 Analiza AI

Jak działa

Podatność występuje w pliku app/admin/custom-fields/order.php, gdzie parametr 'table' przekazywany w żądaniu HTTP nie jest odpowiednio walidowany ani sanityzowany przed użyciem w zapytaniu SQL. Atakujący może skonstruować złośliwe żądanie z parametrem action=add, wstrzykując własny kod SQL do parametru 'table'. Pozwala to na wykonanie dowolnych zapytań do bazy danych bez konieczności posiadania jakichkolwiek uprawnień.

Skutki

Atakujący może uzyskać pełny dostęp do bazy danych aplikacji — w tym odczytać, zmodyfikować lub usunąć dane (np. dane konfiguracyjne sieci, dane uwierzytelniające użytkowników), co może prowadzić do przejęcia kontroli nad systemem zarządzania adresacją IP.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację phpIPAM do wersji wyższej niż 1.4 oraz ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP.