CVE-2021-40961

CMS Made Simple versões 2.2.15 e anteriores

O problema diz respeito a uma injeção de SQL no arquivo modules/News/function.admin articlestab.php. Especificamente, a variável $sortby é concatenada com $query1, permitindo a injeção de código SQL arbitrário sem o uso do caractere ‘.’.

Para as versões 2.2.15 e anteriores do CMS Made Simple, considere restringir o acesso ao arquivo function.admin articlestab.php até que um patch esteja disponível. Como solução temporária, evite usar a variável $sortby na consulta afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.