CVE-2020-13566

phpGACL versão 3.3.7

A vulnerabilidade permite a injeção de SQL por meio de uma solicitação HTTP especialmente criada. No arquivo admin/edit group.php, quando o parâmetro POST action é definido como “Delete”, o parâmetro POST delete group pode levar a uma injeção de SQL. Isso pode ser desencadeado por um invasor enviando uma solicitação HTTP especialmente criada.

Para a versão 3.3.7 do phpGACL, considere desativar a funcionalidade delete group no arquivo admin/edit group.php até que um patch esteja disponível. Restrinja o acesso ao arquivo admin/edit group.php para minimizar o risco de exploração. Evite usar o parâmetro delete group na solicitação HTTP afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.