qdPM 9.1 फिल्टर_बाय (filter_by) पैरामीटर के माध्यम से (SQL Injection)

CVE-2018-25208 qdPM को प्रभावित करता है, जिससे उपयोगकर्ताओं को SQL इंजेक्शन के महत्वपूर्ण जोखिम का सामना करना पड़ता है। यह भेद्यता प्रमाणीकरण रहित हमलावरों को डेटाबेस से संवेदनशील जानकारी निकालने की अनुमति देती है। हमले का वेक्टर timeReport एंडपॉइंट में filterby[CommentCreatedFrom] और filterby[CommentCreatedTo] मापदंडों पर केंद्रित है। हमलावर इन मापदंडों में SQL कोड इंजेक्ट करके दुर्भावनापूर्ण POST अनुरोध सबमिट करके, मनमाने SQL प्रश्नों को निष्पादित कर सकते हैं और गोपनीय डेटा तक पहुंच सकते हैं। इस भेद्यता का फायदा उठाने के लिए प्रमाणीकरण की आवश्यकता न होने के कारण, यह विशेष रूप से खतरनाक है, क्योंकि नेटवर्क एक्सेस रखने वाला कोई भी व्यक्ति संभावित रूप से डेटाबेस को समझौता कर सकता है। CVSS स्कोर 8.2 एक उच्च जोखिम का संकेत देता है, जिसके लिए तत्काल ध्यान देने की आवश्यकता होती है। आधिकारिक फिक्स (fix: none) की अनुपस्थिति स्थिति को बढ़ा देती है, जब तक कि शमन उपाय लागू नहीं किए जाते हैं, उपयोगकर्ताओं को कमजोर छोड़ देती है।

Organizations deploying qdPM version 9.1 are at direct risk. Specifically, environments where the timeReport endpoint is exposed to the internet or accessible to untrusted users are particularly vulnerable. Shared hosting environments utilizing qdPM 9.1 should be considered high-risk due to the potential for cross-tenant exploitation.

• php / web:

grep -r "filter_by[CommentCreatedFrom]" /var/www/qdPM/timeReport.php

• generic web:

curl -X POST -d "filter_by[CommentCreatedFrom]='; DROP TABLE users; --" http://your-qdpm-server/timeReport

• generic web: Examine access logs for POST requests to /timeReport with unusual or malformed filter_by parameters. • generic web: Check response headers for SQL errors or unexpected behavior after submitting crafted requests.

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-26
2. प्रकाशित2026-03-26
3. EPSS अद्यतन2026-04-02

चूंकि qdPM में CVE-2018-25208 के लिए कोई आधिकारिक फिक्स नहीं है, इसलिए शमन पूरक सुरक्षा उपायों पर केंद्रित है। विशेष रूप से filterby[CommentCreatedFrom] और filterby[CommentCreatedTo] मापदंडों के सभी उपयोगकर्ता इनपुट का कड़ाई से सत्यापन और सैनिटाइज करना महत्वपूर्ण है। अनुमत वर्णों की एक श्वेतसूची को लागू करना और किसी भी इनपुट को अस्वीकार करना जिसमें अप्रत्याशित वर्ण शामिल हैं, SQL इंजेक्शन को रोकने में मदद कर सकता है। इसके अतिरिक्त, गतिशील रूप से SQL प्रश्नों का निर्माण करने के बजाय पैरामीट्रिज्ड प्रश्नों या संग्रहीत प्रक्रियाओं का उपयोग करने की दृढ़ता से अनुशंसा की जाती है। नेटवर्क विभाजन और डेटाबेस विशेषाधिकार सीमा भी संभावित शोषण के प्रभाव को कम करने में मदद कर सकती है। संदिग्ध SQL इंजेक्शन पैटर्न के लिए सर्वर लॉग की सक्रिय रूप से निगरानी करना प्रारंभिक पहचान के लिए आवश्यक है। यदि उपलब्ध हो, तो qdPM के नवीनतम संस्करण में अपग्रेड करने या इस भेद्यता को संबोधित करने वाले वैकल्पिक समाधानों की तलाश करने पर विचार करें।