CVE-2021-44135

Pagekit – todas as versões

O problema diz respeito a injeção de SQL por meio da listagem de comentários. O Pagekit, um CMS modular e leve construído com componentes Symfony e Vue.js, apresenta uma vulnerabilidade em seu SettingsController, especificamente na configAction que lida com a ordem da listagem de comentários. As opções permitidas, ASC e DESC, são concatenadas diretamente à consulta SQL sem a devida sanitização, levando à vulnerabilidade de injeção de SQL.

Para todas as versões, considere desativar o recurso de listagem de comentários ou restringir o acesso ao SettingsController até que um patch esteja disponível. Como solução temporária, evite usar o configAction no SettingsController para definir a ordem da listagem de comentários. Restrinja o acesso à consulta SQL vulnerável para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.