CVE-2024-58307

SQL Injection w CSZCMS 1.3.0 — funkcja podglądu członków

CVSS 9.3v4.0pub. 2025-12-11upd. 2025-12-22

CSZCMS w wersji 1.3.0 zawiera podatność typu SQL injection w module wyświetlania członków, umożliwiającą uwierzytelnionemu atakującemu manipulację zapytaniami do bazy danych. Ze względu na możliwość wycieku wrażliwych danych i brak wymogu wysokich uprawnień podatność jest oceniona jako krytyczna.

▸ Pokaż oryginał (EN)

CSZCMS 1.3.0 contains an authenticated SQL injection vulnerability in the members view functionality that allows authenticated attackers to manipulate database queries. Attackers can inject malicious SQL code through the view parameter to potentially execute time-based blind SQL injection attacks and extract database information.

🤖 Analiza AI

Jak działa

Atakujący, posiadając dowolne konto w systemie, może wstrzyknąć złośliwy kod SQL poprzez parametr 'view' w funkcji podglądu członków (members view). Aplikacja nie filtruje poprawnie danych wejściowych, co pozwala na przeprowadzenie ataku typu time-based blind SQL injection. W ten sposób atakujący może stopniowo odczytywać zawartość bazy danych, w tym dane użytkowników, hasła oraz inne poufne informacje.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do pełnej zawartości bazy danych, w tym danych logowania i innych wrażliwych informacji przechowywanych w systemie.

Mitygacja

Brak informacji o oficjalnym patchu w dostępnych źródłach — należy śledzić aktualizacje producenta pod adresem https://www.cszcms.com/ i zastosować poprawki niezwłocznie po ich udostępnieniu. Jako środek tymczasowy zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz stosowanie zapory aplikacyjnej (WAF) blokującej próby SQL injection.

Kogo dotyczy

CSZCMS (CSZ CMS) w wersji 1.3.0

Uwagi

Dla tej podatności istnieje publicznie dostępny exploit opublikowany w bazie Exploit-DB (numer 51916), co znacząco obniża próg wejścia dla potencjalnych atakujących. Pomimo braku wpisu w CISA KEV, obecność gotowego exploita wymaga pilnej reakcji.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X