प्लेटफ़ॉर्म
php
घटक
cmssite
में ठीक किया गया
1.0.1
CVE-2019-25674 CMSsite नामक कंटेंट मैनेजमेंट सिस्टम (CMS) में पाई गई एक गंभीर SQL Injection भेद्यता है। यह भेद्यता हमलावरों को दुर्भावनापूर्ण SQL कोड इंजेक्ट करने और डेटाबेस को हेरफेर करने की अनुमति देती है, जिससे संवेदनशील जानकारी का खुलासा हो सकता है। यह भेद्यता CMSsite के संस्करण 1.0.0 से 1.0 तक के संस्करणों को प्रभावित करती है। फिलहाल, इस भेद्यता के लिए कोई आधिकारिक पैच उपलब्ध नहीं है।
CMSsite 1.0 में CVE-2019-25674 भेद्यता इस CMS का उपयोग करने वाली वेबसाइटों के लिए एक महत्वपूर्ण सुरक्षा जोखिम पैदा करती है। यह एक अनधिकृत SQL इंजेक्शन भेद्यता है, जिसका अर्थ है कि एक हमलावर क्रेडेंशियल्स की आवश्यकता के बिना इसका फायदा उठा सकता है। SQL इंजेक्शन हमलावरों को डेटाबेस क्वेरी को हेरफेर करने की अनुमति देता है, जिससे संवेदनशील जानकारी (जैसे उपयोगकर्ता नाम, पासवर्ड, ग्राहक डेटा) निकालने या डेटा को संशोधित / हटाने की संभावना होती है। कोई फिक्स (fix) न होने से स्थिति और खराब हो जाती है, जिससे वेबसाइटें हमलों के प्रति संवेदनशील हो जाती हैं। संभावित प्रभाव में प्रतिष्ठा को नुकसान, डेटा हानि, सेवा में व्यवधान और संभावित कानूनी परिणाम शामिल हैं।
यह भेद्यता post.php को हेरफेर किए गए post पैरामीटर के साथ GET अनुरोध भेजकर शोषण किया जाता है। हमलावर इस पैरामीटर में दुर्भावनापूर्ण SQL कोड इंजेक्ट कर सकता है, जिसे तब डेटाबेस के खिलाफ निष्पादित किया जाता है। चूंकि प्रमाणीकरण की आवश्यकता नहीं है, इसलिए URL तक पहुंच रखने वाला कोई भी व्यक्ति इस भेद्यता का फायदा उठाने का प्रयास कर सकता है। समय-आधारित ब्लाइंड SQL इंजेक्शन तकनीकों का उपयोग डेटाबेस से प्रत्यक्ष प्रतिक्रिया प्राप्त न होने पर भी जानकारी निकालने के लिए किया जा सकता है। शोषण की सरलता इस भेद्यता को विशेष रूप से खतरनाक बनाती है, क्योंकि इसका फायदा विभिन्न कौशल स्तरों के हमलावरों द्वारा उठाया जा सकता है।
Organizations utilizing CMSsite version 1.0.0–1.0, particularly those hosting the application on shared hosting environments or without robust input validation practices, are at significant risk. Systems where CMSsite handles sensitive user data or critical business processes are especially vulnerable.
• php / server:
grep -r "SELECT .* FROM" /var/www/html/cmsite/• php / server:
find /var/www/html/cmsite/ -name "post.php" -print• generic web:
curl -I http://your-cmssite-url/post.php?post=' --header 'Cookie: PHPSESSID=your_session_id'एक्सप्लॉइट स्थिति
EPSS
0.24% (48% शतमक)
CISA SSVC
CVSS वेक्टर
चूंकि CVE-2019-25674 के लिए कोई आधिकारिक फिक्स नहीं है, इसलिए शमन निवारक और पहचान उपायों पर केंद्रित है। सबसे महत्वपूर्ण कदम CMSsite 1.0 का उपयोग तुरंत बंद करना है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) लागू करें जो SQL इंजेक्शन प्रयासों का पता लगा सके और उन्हें ब्लॉक कर सके। स्रोत कोड और डेटाबेस का नियमित सुरक्षा ऑडिट भी आवश्यक है ताकि संभावित कमजोरियों की पहचान और सुधार किया जा सके। post.php पर दुर्भावनापूर्ण 'post' पैरामीटर के साथ असामान्य GET अनुरोधों जैसी संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी करने से चल रहे हमले का पता लगाने में मदद मिल सकती है। डेटाबेस तक पहुंच को प्रतिबंधित करना और न्यूनतम विशेषाधिकार के सिद्धांत को लागू करना सफल शोषण की स्थिति में संभावित नुकसान को सीमित कर सकता है।
Actualice CMSsite a una versión corregida que solucione la vulnerabilidad de inyección SQL en el parámetro 'post'. Verifique la documentación del proveedor para obtener instrucciones específicas de actualización. Además, implemente validación y saneamiento de entradas para prevenir futuras inyecciones SQL.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
SQL इंजेक्शन एक हमला है जो हमलावरों को डेटाबेस को हेरफेर करने के लिए वेब एप्लिकेशन में दुर्भावनापूर्ण SQL कोड डालने की अनुमति देता है।
यह गंभीर है क्योंकि इसके लिए प्रमाणीकरण की आवश्यकता नहीं होती है और यह हमलावरों को संवेदनशील डेटा तक पहुंचने, संशोधित करने या हटाने की अनुमति दे सकता है।
CMSsite 1.0 का उपयोग तुरंत बंद करें और एक सुरक्षित विकल्प देखें।
वल्नरेबिलिटी स्कैनर और पेनिट्रेशन टेस्टिंग टूल हैं जो भेद्यता की पहचान करने में मदद कर सकते हैं।
सुरक्षित कोडिंग प्रथाओं को लागू करें, नियमित सुरक्षा ऑडिट करें और अपने सॉफ़्टवेयर को अपडेट रखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।