PT-2021-23570
CVE-2021-42325
·
Publicado
2021-10-12
·
Atualizado
2022-05-24
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Froxlor 0.10.28 a 0.10.29.1
Descrição
A vulnerabilidade permite a injeção de SQL no arquivo Database/Manager/DbManagerMySQL.php por meio de um nome de banco de dados personalizado. Isso pode levar à execução remota de código (RCE).
Recomendações
Para as versões 0.10.28 a 0.10.29.1, considere desativar o recurso de nome de banco de dados personalizado no arquivo Database/Manager/DbManagerMySQL.php até que uma correção esteja disponível. Restrinja o acesso ao arquivo Database/Manager/DbManagerMySQL.php para minimizar o risco de exploração. Evite usar nomes de banco de dados personalizados no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾