CVE-2022-26279

EyouCMS: brak kontroli dostępu do komponentu /data/sqldata

CVSS 9.8v3.1pub. 2022-03-24upd. 2024-11-21

EyouCMS v1.5.5 posiada krytyczną lukę w komponencie /data/sqldata, polegającą na całkowitym braku mechanizmów kontroli dostępu. Podatność umożliwia nieuwierzytelnionemu atakującemu dostęp do wrażliwych zasobów bez żadnej weryfikacji tożsamości.

▸ Pokaż oryginał (EN)

EyouCMS v1.5.5 was discovered to have no access control in the component /data/sqldata.

🤖 Analiza AI

Jak działa

Luka sklasyfikowana jako CWE-425 (Direct Request / Forced Browsing) polega na tym, że komponent /data/sqldata nie wymaga uwierzytelnienia ani autoryzacji przed udzieleniem dostępu. Atakujący może wysłać bezpośrednie żądanie HTTP do tego endpointu z sieci, omijając wszelkie mechanizmy zabezpieczeń. Brak jakiejkolwiek weryfikacji uprawnień oznacza, że każdy użytkownik sieciowy może uzyskać dostęp do chronionych zasobów.

Skutki

Atakujący bez uwierzytelnienia może uzyskać pełny dostęp do danych SQL aplikacji, co prowadzi do naruszenia poufności, integralności i dostępności systemu. Możliwe jest odczytanie, modyfikacja lub usunięcie danych przechowywanych przez aplikację.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.eyoucms.com/rizhi/). Dodatkowo zaleca się ograniczenie dostępu sieciowego do komponentu /data/sqldata na poziomie firewall lub konfiguracji serwera WWW do czasu zastosowania oficjalnej poprawki.