CVE-2023-47397

WeBid ≤1.2.2 — code injection w panelu administracyjnym

CVSS 9.8v3.1pub. 2023-11-08upd. 2024-11-21

WeBid w wersji 1.2.2 i wcześniejszych zawiera podatność typu code injection w pliku admin/categoriestrans.php, umożliwiającą zdalne wykonanie dowolnego kodu. Podatność otrzymała krytyczny poziom CVSS 9.8, co czyni ją poważnym zagrożeniem dla każdej instancji tej aplikacji aukcyjnej.

▸ Pokaż oryginał (EN)

WeBid <=1.2.2 is vulnerable to code injection via admin/categoriestrans.php.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-94 (Improper Control of Generation of Code) polega na tym, że plik admin/categoriestrans.php nie weryfikuje poprawnie danych wejściowych przekazywanych przez użytkownika, co pozwala na wstrzyknięcie i wykonanie dowolnego kodu po stronie serwera. Atakujący może zdalnie, bez uwierzytelnienia oraz bez interakcji ofiary, dostarczyć spreparowany payload, który zostanie zinterpretowany i wykonany przez aplikację.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnego kodu na serwerze (RCE), co może prowadzić do pełnego przejęcia kontroli nad systemem, kradzieży danych, modyfikacji bazy danych lub instalacji backdoora.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego (plik admin/categoriestrans.php) wyłącznie do zaufanych adresów IP na poziomie firewall lub konfiguracji serwera WWW.