CVE-2022-23797

SQL Injection w Joomla! przez niewystarczające filtrowanie wybranych ID

CVSS 9.8v3.1pub. 2022-03-30upd. 2024-11-21

W Joomla! w wersjach 3.0.0–3.10.6 oraz 4.0.0–4.1.0 wykryto podatność SQL injection wynikającą z niewystarczającego filtrowania parametrów ID w żądaniach HTTP. Podatność uzyskała ocenę krytyczną CVSS 9.8, co oznacza poważne zagrożenie dla integralności i poufności danych przechowywanych w bazie danych.

▸ Pokaż oryginał (EN)

An issue was discovered in Joomla! 3.0.0 through 3.10.6 & 4.0.0 through 4.1.0. Inadequate filtering on the selected Ids on an request could resulted into an possible SQL injection.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie HTTP zawierające złośliwe wartości w parametrze wybranych identyfikatorów (selected Ids). Aplikacja nie filtruje w wystarczający sposób tych danych wejściowych przed przekazaniem ich do zapytania SQL. Pozwala to na wstrzyknięcie dowolnego kodu SQL i manipulację zapytaniami wykonywanymi przez serwer bazy danych. Atak nie wymaga uwierzytelnienia ani interakcji po stronie użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych z bazy danych, modyfikować lub usuwać jej zawartość, a w sprzyjających warunkach przejąć pełną kontrolę nad serwerem bazy danych. Podatność zagraża poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Joomla! do wersji wyższej niż 3.10.6 (gałąź 3.x) lub wyższej niż 4.1.0 (gałąź 4.x). Szczegółowe informacje o patchu dostępne są w oficjalnym centrum bezpieczeństwa Joomla! pod adresem wskazanym w referencjach (biuletyn 20220305).