CVE-2024-31212

InstantCMS versão 2.16.2

Uma vulnerabilidade de injeção de SQL afeta o aplicativo, permitindo que um invasor com privilégios administrativos execute código SQL não autorizado. A vulnerabilidade existe na ação index chart data, que recebe a entrada do usuário e a passa sem sanitização para a função filterFunc do modelo principal, incorporando esses dados em uma instrução SQL. Isso permite que invasores injetem código SQL indesejado na instrução. A variável period deve ser escapada antes de ser inserida na consulta.

Como solução temporária, considere desativar a ação index chart data até que um patch esteja disponível. Restrinja o acesso à função filterFunc para minimizar o risco de exploração. Evite usar a variável period na instrução SQL afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.