PilusCart 1.4.1 SQL इंजेक्शन send पैरामीटर के माध्यम से

CVE-2019-25672 PilusCart के संस्करण 1.4.1 को प्रभावित करता है, टिप्पणी सबमिशन एंडपॉइंट में 'send' पैरामीटर में एक SQL इंजेक्शन भेद्यता को उजागर करता है। एक गैर-प्रमाणित हमलावर इस कमजोरी का फायदा उठाकर SQL प्रश्नों में हेरफेर कर सकता है, जिससे संभावित रूप से डेटाबेस से संवेदनशील जानकारी निकाली जा सकती है। यह भेद्यता RLIKE-आधारित बूलियन SQL इंजेक्शन पेलोड का उपयोग करती है, जिससे POST अनुरोधों के माध्यम से डेटा निकालने की अनुमति मिलती है। CVSS के अनुसार इस भेद्यता की गंभीरता को 8.2 के रूप में रेट किया गया है, जो एक महत्वपूर्ण जोखिम दर्शाता है। आधिकारिक फिक्स (fix: none) की कमी से स्थिति और खराब हो जाती है, जिससे प्रभावित सिस्टम की सुरक्षा के लिए तत्काल शमन उपायों की आवश्यकता होती है। KEV (नॉलेज एंट्री वैलिडेशन) की अनुपस्थिति का सुझाव है कि यह भेद्यता व्यापक रूप से ज्ञात या सुरक्षा ज्ञान आधार में प्रलेखित नहीं हो सकती है।

Organizations and individuals using PilusCart version 1.4.1–1.4.1, particularly those with sensitive customer data or financial information, are at significant risk. Shared hosting environments where multiple websites share the same PilusCart installation are especially vulnerable, as a compromise of one site could potentially impact others.

• php / server:

grep -r 'send parameter' /var/log/apache2/access.log
grep -r 'RLIKE' /var/log/apache2/access.log

• generic web:

curl -I 'http://your-piluscart-site.com/comment.php?send=RLIKE' # Check for unusual response headers

1. 2026-04-05Disclosure

   disclosure

1. आरक्षित2026-04-05
2. प्रकाशित2026-04-05
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-13

चूंकि PilusCart 1.4.1 में CVE-2019-25672 के लिए कोई आधिकारिक पैच नहीं है, इसलिए शमन उपायों पर रक्षात्मक उपायों पर ध्यान केंद्रित किया गया है। यदि उपलब्ध हो तो PilusCart के नए संस्करण में अपग्रेड करने की जोरदार सिफारिश की जाती है, क्योंकि बाद के संस्करणों में इस भेद्यता को संबोधित किया जा सकता है। इस बीच, सभी उपयोगकर्ता इनपुट, विशेष रूप से 'send' पैरामीटर का सख्त सत्यापन और सफाई करना महत्वपूर्ण है। पैरामीटराइज्ड क्वेरी या संग्रहीत प्रक्रियाओं का उपयोग करके SQL इंजेक्शन को रोकने में मदद मिल सकती है। इसके अतिरिक्त, डेटाबेस एक्सेस को प्रतिबंधित करने और संदिग्ध गतिविधि की निगरानी करने से संभावित हमलों का पता लगाने और उनका जवाब देने में मदद मिल सकती है। दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करने पर विचार करें।