CVE-2025-1874

SQL Injection w 101news – parametr 'description' w panelu admina

CVSS 9.3v4.0pub. 2025-03-03upd. 2025-03-07

W aplikacji 101news w wersji 1.0 wykryto podatność typu SQL injection w parametrze 'description' endpointu admin/add-category.php. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań do bazy danych.

▸ Pokaż oryginał (EN)

SQL injection vulnerability have been found in 101news affecting version 1.0 through the "description" parameter in admin/add-category.php.

🤖 Analiza AI

Jak działa

Atakujący przesyła spreparowane dane wejściowe przez parametr 'description' w formularzu dodawania kategorii (admin/add-category.php). Aplikacja nie filtruje ani nie parametryzuje przekazywanych wartości, co pozwala na wstrzyknięcie dowolnych poleceń SQL bezpośrednio do zapytania wykonywanego na serwerze bazy danych. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez jakiejkolwiek interakcji po stronie ofiary.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie danych, w tym do danych uwierzytelniających, treści serwisu i danych użytkowników. W zależności od konfiguracji serwera możliwe jest również modyfikowanie lub usuwanie danych, a potencjalnie także wykonywanie poleceń systemowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się także wdrożenie parametryzowanych zapytań SQL (prepared statements) oraz walidacji i sanityzacji danych wejściowych po stronie serwera. Do czasu zastosowania łatki należy rozważyć ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Aplikacja 101news (Mayurik Best Online News Portal) w wersji 1.0

Uwagi

Podatność została zgłoszona i opublikowana przez INCIBE-CERT (Hiszpańskie Narodowe Centrum Cyberbezpieczeństwa) jako część raportu o wielu podatnościach w produkcie 101news.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X