CVE-2023-40749

SQL Injection w PHPJabbers Food Delivery Script v3.0

CVSS 9.8v3.1pub. 2023-08-28upd. 2024-11-21

PHPJabbers Food Delivery Script w wersji 3.0 zawiera podatność typu SQL Injection w parametrze 'column' pliku index.php. Luka umożliwia nieuwierzytelnionemu atakującemu zdalne wykonywanie zapytań SQL bezpośrednio w bazie danych aplikacji.

▸ Pokaż oryginał (EN)

PHPJabbers Food Delivery Script v3.0 is vulnerable to SQL Injection in the "column" parameter of index.php.

🤖 Analiza AI

Jak działa

Parametr 'column' przekazywany do pliku index.php nie jest odpowiednio walidowany ani sanitizowany przed użyciem w zapytaniu do bazy danych. Atakujący może wstrzyknąć złośliwy kod SQL, manipulując wartością tego parametru w żądaniu HTTP. Brak uwierzytelnienia wymagany do przeprowadzenia ataku (PR:N, UI:N) sprawia, że exploit jest dostępny dla każdego użytkownika sieci.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie danych, zmodyfikować lub usunąć jej zawartość, a w sprzyjających warunkach przejąć kontrolę nad systemem bazodanowym. Wysoki wpływ na poufność, integralność i dostępność (C:H/I:H/A:H).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W ramach obejścia zaleca się ograniczenie dostępu do pliku index.php na poziomie firewall lub serwera WWW oraz wdrożenie mechanizmów WAF filtrujących złośliwe zapytania SQL.

Kogo dotyczy

PHPJabbers Food Delivery Script w wersji 3.0

Uwagi

Podatność została opisana przez badacza bezpieczeństwa w artykule na platformie Medium jako część serii raportów dotyczących wielu podatności w produktach PHPJabbers (część 3).