CVE-2022-32301

SQL injection w YoudianCMS v9.5.0 poprzez parametr IdList

CVSS 9.8v3.1pub. 2022-06-15upd. 2024-11-21

W systemie YoudianCMS w wersji 9.5.0 wykryto podatność typu SQL injection w parametrze IdList, obsługiwanym przez plik /App/Lib/Action/Home/ApiAction.class.php. Podatność jest krytyczna — umożliwia nieuwierzytelnionemu atakującemu zdalne wykonywanie zapytań SQL bezpośrednio na bazie danych.

▸ Pokaż oryginał (EN)

YoudianCMS v9.5.0 was discovered to contain a SQL injection vulnerability via the IdList parameter at /App/Lib/Action/Home/ApiAction.class.php.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie HTTP zawierające złośliwy payload w parametrze IdList do endpointu API aplikacji. Aplikacja nie filtruje ani nie parametryzuje poprawnie danych wejściowych, przez co przekazuje je bezpośrednio do zapytania SQL. Pozwala to na manipulację logiką zapytań do bazy danych bez konieczności posiadania jakichkolwiek uprawnień.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, a także potencjalnie modyfikować lub usuwać dane oraz — w zależności od konfiguracji serwera bazy danych — wykonywać operacje systemowe prowadzące do pełnego przejęcia kontroli nad serwerem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako dodatkowe środki zaradcze zaleca się wdrożenie reguł WAF (Web Application Firewall) blokujących próby SQL injection oraz ograniczenie dostępu do endpointów API wyłącznie do zaufanych źródeł.