CVE-2025-65950

SQL Injection w WBCE CMS — nieautoryzowany dostęp do bazy danych

CVSS 9.4v4.0pub. 2025-12-10upd. 2025-12-16

WBCE CMS w wersjach 1.6.4 i wcześniejszych zawiera podatność SQL injection w module zarządzania użytkownikami, umożliwiającą uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami wykonanie dowolnych zapytań SQL. Podatność jest krytyczna, ponieważ prowadzi do pełnego kompromitacji bazy danych oraz wycieku danych z pominięciem wszelkich mechanizmów kontroli bezpieczeństwa.

▸ Pokaż oryginał (EN)

WBCE CMS is a content management system. In versions 1.6.4 and below, the user management module allows a low-privileged authenticated user with permissions to modify users to execute arbitrary SQL queries. This can be escalated to a full database compromise, data exfiltration, effectively bypassing all security controls. The vulnerability exists in the admin/users/save.php script, which handles updates to user profiles. The script improperly processes the groups[] parameter sent from the user edit form. This issue is fixed in version 1.6.5.

🤖 Analiza AI

Jak działa

Podatność znajduje się w skrypcie admin/users/save.php, który obsługuje aktualizacje profili użytkowników. Skrypt niewłaściwie przetwarza parametr groups[] przesyłany z formularza edycji użytkownika — brak odpowiedniej sanityzacji danych wejściowych pozwala na wstrzyknięcie złośliwego kodu SQL. Atakujący musi posiadać konto z uprawnieniami do modyfikacji użytkowników, jednak nawet niskie uprawnienia wystarczą do przeprowadzenia ataku. Poprzez manipulację parametrem groups[] możliwe jest wykonanie dowolnych zapytań bezpośrednio na silniku bazy danych.

Skutki

Atakujący może uzyskać pełną kontrolę nad bazą danych — odczytać, zmodyfikować lub usunąć dane, a także dokonać ich eksfiltracji, skutecznie omijając wszystkie mechanizmy kontroli bezpieczeństwa systemu CMS.

Mitygacja

Należy zaktualizować WBCE CMS do wersji 1.6.5, w której podatność została naprawiona. Patch dostępny jest w oficjalnym repozytorium projektu na GitHub.

Kogo dotyczy

WBCE CMS w wersjach 1.6.4 i wcześniejszych

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X