CVE-2025-1869

SQL Injection w 101news — podatność w parametrze 'username'

CVSS 9.3v4.0pub. 2025-03-03upd. 2025-03-07

W aplikacji 101news w wersji 1.0 odkryto podatność typu SQL injection w parametrze 'username' pliku admin/check_avalability.php. Luka umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnych zapytań SQL na bazie danych serwisu, co stanowi poważne zagrożenie dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

SQL injection vulnerability have been found in 101news affecting version 1.0 through the "username" parameter in admin/check_avalability.php.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie HTTP do punktu końcowego admin/check_avalability.php, wstrzykując złośliwy kod SQL poprzez parametr 'username'. Dane przekazywane przez użytkownika nie są odpowiednio walidowane ani parametryzowane przed użyciem w zapytaniu do bazy danych. Pozwala to na manipulację logiką zapytań SQL wykonywanych po stronie serwera.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, w tym danych uwierzytelniających użytkowników i administratorów, a także potencjalnie modyfikować lub usuwać dane serwisu. Podatność nie wymaga żadnego uwierzytelnienia ani interakcji po stronie ofiary, co znacząco podnosi jej krytyczność.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się stosowanie parametryzowanych zapytań SQL (prepared statements) oraz walidacji danych wejściowych po stronie serwera jako środków zaradczych w warstwie aplikacji.

Kogo dotyczy

Aplikacja 101news (Mayurik Best Online News Portal) w wersji 1.0

Uwagi

Podatność została opisana przez INCIBE-CERT (Hiszpańskie Narodowe Centrum ds. Cyberbezpieczeństwa) jako część raportu o wielokrotnych podatnościach w aplikacji 101news.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X