CVE-2021-3817

SQL Injection w WBCE CMS umożliwiający przejęcie kontroli nad bazą danych

CVSS 9.8v3.1pub. 2021-12-09upd. 2024-11-21

WBCE CMS jest podatny na SQL Injection (CWE-89) polegający na braku właściwej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność posiada krytyczny poziom CVSS 9.8 i może być wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

wbce_cms is vulnerable to Improper Neutralization of Special Elements used in an SQL Command

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie HTTP zawierające złośliwe dane wejściowe z nieodpowiednio obsługiwanymi znakami specjalnymi SQL. Aplikacja przekazuje te dane bezpośrednio do zapytania bazodanowego bez odpowiedniej walidacji lub parametryzacji. Pozwala to na modyfikację logiki wykonywanego zapytania SQL i wykonanie niezamierzonych operacji na bazie danych. Zgodnie z referencjami podatność może być wykorzystana do resetowania hasła administratora.

Skutki

Atakujący bez żadnego uwierzytelnienia może odczytać, zmodyfikować lub usunąć dane z bazy danych, w tym przejąć konto administratora poprzez reset hasła, co prowadzi do pełnego przejęcia kontroli nad aplikacją.

Mitygacja

Należy zaktualizować WBCE CMS do wersji zawierającej poprawkę dostępną w commicie 6ca63f0cad5f0cd606fdb69a372f09b7d238f1d7 w repozytorium GitHub projektu. Zaleca się również ograniczenie dostępu do panelu administracyjnego na poziomie firewall oraz weryfikację integralności kont administracyjnych.

Kogo dotyczy

WBCE CMS w wersji 1.5.1 oraz wcześniejszych (wskazane w referencjach producenta)

Uwagi

Publicznie dostępny exploit demonstrujący reset hasła administratora został opublikowany w serwisie Packet Storm Security (plik: WBCE-CMS-1.5.1-Admin-Password-Reset.html). Zgłoszenie podatności pochodzi z platformy huntr.dev.