ImpressCMS 1.3.11 bid पैरामीटर के माध्यम से SQL इंजेक्शन

CVE-2019-25703 इंप्रेससीएमएस के संस्करण 1.3.11 को प्रभावित करता है और इसमें समय-आधारित ब्लाइंड एसक्यूएल इंजेक्शन भेद्यता है। यह दोष प्रमाणित हमलावरों को 'bid' पैरामीटर के माध्यम से दुर्भावनापूर्ण एसक्यूएल कोड इंजेक्ट करके डेटाबेस क्वेरी में हेरफेर करने की अनुमति देता है। संभावित प्रभाव गंभीर है, क्योंकि एक हमलावर संवेदनशील डेटाबेस जानकारी निकाल सकता है, जिसमें उपयोगकर्ता क्रेडेंशियल, कॉन्फ़िगरेशन डेटा और वेबसाइट सामग्री शामिल है। इंजेक्शन की 'अंध' प्रकृति का मतलब है कि सर्वर प्रतिक्रिया क्वेरी परिणामों को सीधे प्रकट नहीं करती है, जिससे पता लगाना अधिक कठिन हो जाता है, लेकिन इसका उपयोग करना असंभव नहीं है। आधिकारिक फिक्स (फिक्स) की कमी स्थिति को बढ़ा देती है, जिससे इंप्रेससीएमएस 1.3.11 उपयोगकर्ता इस हमले के प्रति संवेदनशील हो जाते हैं।

1. आरक्षित2026-04-05
2. प्रकाशित2026-04-12
3. EPSS अद्यतन2026-04-20

चूंकि इंप्रेससीएमएस डेवलपर कोई आधिकारिक फिक्स प्रदान नहीं करता है, इसलिए तत्काल शमन में उपलब्ध होने पर सॉफ़्टवेयर के नए संस्करण में अपग्रेड करना शामिल है। यदि अपग्रेड संभव नहीं है, तो अतिरिक्त सुरक्षा उपायों को लागू करने की सिफारिश की जाती है, जिसमें सभी उपयोगकर्ता इनपुट, विशेष रूप से 'bid' पैरामीटर का सख्त सत्यापन और सफाई शामिल है। केवल अधिकृत उपयोगकर्ताओं को प्रशासनिक पहुंच को प्रतिबंधित करने और संभावित हमलों का पता लगाने और रोकने में मदद करने के लिए वेबसाइट गतिविधि की निगरानी करने से मदद मिलेगी। एसक्यूएल इंजेक्शन प्रयासों का पता लगाने और ब्लॉक करने में सक्षम वेब एप्लिकेशन फ़ायरवॉल (WAF) को तैनात करना भी एक प्रभावी रणनीति है। समान कमजोरियों की पहचान और सुधार करने के लिए स्रोत कोड सुरक्षा ऑडिट महत्वपूर्ण है।