WordPress Participants Database SQLi sérülékenység
Angol cím: WordPress Participants Database SQLi vulnerability
CH azonosító: CH-14789
Publikálás dátuma: 2020.02.12.
Utolsó módosítás dátuma: 2020.02.12.
Leírás
A CVE-2020-8596 számon a WordPress tartalomkezelő rendszer Participants Database pluginjának alacsony kockázati besorolású sérülékenysége vált ismertté, amelyet kihasználva a távoli, jogosultsággal rendelkező támadó SQLi típusú támadást hajthat végre az érintett rendszer ellen.
Leírás forrása: Egyéb referencia: www.cybersecurity-help.cz Leírás utolsó módosítása: 2020.02.12.Elemzés leírás
A WordPress nyílt forráskódú, PHP-alapú tartalomkezelő és blog-rendszer, ami a MySQL adatbáziskezelőt használja adattárolásra. A WordPress beépített pluginja a Participants Database, amely megkönnyíti az adatbázisok létrehozását és karbantartását. A plugin segítségével az egyes adatbázisrekordok egyenként is felvihetők, de biztosított a .CSV fileból való importálás lehetősége is. Az adatbázis szabadon szűrhető, az eredmény .CSV fileba exportálható.
A sérülékenység a “/wp-admin/admin.php?page=participants-database” URL-hez kapcsolódó egyes paraméterek (ascdesc, list_filter_count, sortBy) nem megfelelő kezeléséből ered.
Kihasználásához a jogosultsággal rendelkező, távoli támadónak átalakított kérést kell küldenie az érintett applikációnak. Sikeres kihasználás esetén tetszőleges SQL parancsok hajthatók végre az alkalmazás adatbázisában, továbbá hozzáférhetővé válhatnak az ott tárolt adatok, beleértve azok módosítását, törlését, illetve akár az alkalmazás feletti teljes irányítást is átvehető.
Érintett eszközök:
- WordPress Participants Database 1.9.5.6 előtti verziók
A gyártó honlapján közzétette a hibák javításait tartalmazó frissítéseket
Elemzés leírás forrása: Egyéb referencia: www.cybersecurity-help.cz Elemzés leírás utolsó módosítása: 2020.02.12.Hatás
CVSS3 Súlyosság és Metrika
Base score: 3.4 (Alacsony)
Vector: AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N
Impact Score:
Exploitability Score:
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): High
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C):
Integrity Impact (I):
Availability Impact (A): None
Hivatkozások
Egyéb referencia: www.cybersecurity-help.cz
Egyéb referencia: wpvulndb.com
Egyéb referencia: cve.mitre.org
CVE-2020-8596 - NVD CVE-2020-8596
