CVE-2024-30163

SQL Injection w Invision Community — nieuwierzytelniony Blind SQLi w module sklepu

CVSS 9.8v3.1pub. 2024-06-07upd. 2025-03-19

Invision Community przed wersją 4.7.16 zawiera podatność SQL injection w module sklepu, umożliwiającą nieuwierzytelnionym atakującym wykonanie ataków Blind SQL Injection. Podatność posiada krytyczny poziom CVSS 9.8, co oznacza pełne ryzyko dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Invision Community before 4.7.16 allow SQL injection via the applications/nexus/modules/front/store/store.php IPS\nexus\modules\front\store\_store::_categoryView() method, where user input passed through the filter request parameter is not properly sanitized before being used to execute SQL queries. This can be exploited by unauthenticated attackers to carry out Blind SQL Injection attacks.

🤖 Analiza AI

Jak działa

Podatność znajduje się w pliku applications/nexus/modules/front/store/store.php, konkretnie w metodzie _categoryView() klasy IPS\nexus\modules\front\store\_store. Dane przekazywane przez użytkownika za pomocą parametru żądania 'filter' nie są odpowiednio oczyszczane przed ich użyciem do konstruowania zapytań SQL. Atakujący bez żadnego uwierzytelnienia może przesyłać spreparowane wartości parametru, wykonując w ten sposób ataki typu Blind SQL Injection — stopniowo odczytując zawartość bazy danych poprzez analizę odpowiedzi aplikacji.

Skutki

Nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie danych (w tym danych użytkowników, haseł, informacji o transakcjach), a potencjalnie także modyfikować lub usuwać dane, co zagraża poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Invision Community do wersji 4.7.16 lub nowszej. Informacje o wydaniu dostępne są w oficjalnych notatkach producenta pod adresem: https://invisioncommunity.com/release-notes/4716-r128/

Kogo dotyczy

Invision Community (IPS) we wszystkich wersjach przed 4.7.16 z aktywnym modułem sklepu Nexus.

Uwagi

Szczegóły techniczne podatności zostały opublikowane na liście Full Disclosure (seclists.org) w kwietniu 2024 roku, co oznacza publiczną dostępność informacji o podatności przed datą jej formalnej publikacji CVE.