CVE-2020-24000

SQL Injection w EyouCMS umożliwiający RCE i wyciek danych

CVSS 9.8v3.1pub. 2021-11-03upd. 2024-11-21

W systemie EyouCMS w wersji 1.4.7 wykryto podatność SQL Injection w parametrze tid pliku index.php, pozwalającą atakującemu na wykonanie dowolnego kodu oraz ujawnienie poufnych danych. Brak wymagań uwierzytelnienia i niski próg wejścia czynią tę podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

SQL Injection vulnerability in eyoucms cms v1.4.7, allows attackers to execute arbitrary code and disclose sensitive information, via the tid parameter to index.php.

🤖 Analiza AI

Jak działa

Podatność polega na niewystarczającej walidacji i braku parametryzacji zapytań SQL dla parametru tid przekazywanego do pliku index.php. Atakujący może wstrzyknąć złośliwe fragmenty kodu SQL bezpośrednio w żądaniu HTTP, manipulując tym samym logiką zapytań do bazy danych. Skutkuje to możliwością odczytu, modyfikacji lub usunięcia danych, a w określonych konfiguracjach bazy danych również wykonaniem dowolnego kodu na serwerze.

Skutki

Atakujący bez uwierzytelnienia może uzyskać pełny dostęp do bazy danych aplikacji, ujawnić wrażliwe informacje oraz potencjalnie wykonać dowolny kod na serwerze (RCE), co w efekcie może prowadzić do pełnego przejęcia systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również wdrożenie reguł WAF (Web Application Firewall) blokujących próby SQL Injection oraz ograniczenie uprawnień konta bazodanowego używanego przez aplikację do niezbędnego minimum.