CVE-2022-44298

SQL Injection w SiteServer CMS 7.1.3 — krytyczna podatność

CVSS 9.8v3.1pub. 2023-01-27upd. 2025-03-28

SiteServer CMS w wersji 7.1.3 zawiera krytyczną podatność SQL Injection, która umożliwia nieuwierzytelnionemu atakującemu wykonanie złośliwych zapytań do bazy danych. Ze względu na brak wymagań dotyczących uwierzytelnienia i sieciowy wektor ataku, podatność stanowi poważne zagrożenie dla systemów dostępnych publicznie.

▸ Pokaż oryginał (EN)

SiteServer CMS 7.1.3 is vulnerable to SQL Injection.

🤖 Analiza AI

Jak działa

Podatność typu SQL Injection (CWE-89) polega na niewystarczającym filtrowaniu lub braku walidacji danych wejściowych przekazywanych do zapytań SQL. Atakujący może wstrzyknąć złośliwy kod SQL poprzez sieć (AV:N), bez konieczności posiadania jakichkolwiek uprawnień (PR:N) ani interakcji ze strony użytkownika (UI:N). Pozwala to na manipulowanie zapytaniami kierowanymi do bazy danych systemu CMS.

Skutki

Pomyślne wykorzystanie podatności może prowadzić do pełnego ujawnienia, modyfikacji lub usunięcia danych przechowywanych w bazie danych (wysoka poufność, integralność i dostępność). W konsekwencji atakujący może uzyskać dostęp do danych uwierzytelniających, treści serwisu lub innych wrażliwych informacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Rekomenduje się aktualizację do nowszej wersji SiteServer CMS oraz monitorowanie zgłoszenia pod adresem https://github.com/siteserver/cms/issues/3492 w celu uzyskania szczegółów dotyczących poprawki.