Platform
php
Component
adanti
Opgelost in
5.5.1
CVE-2018-25257 beschrijft een SQL injection kwetsbaarheid in Adianti Framework versie 5.5.0 en 5.6.0. Deze kwetsbaarheid stelt geauthenticeerde gebruikers in staat om database queries te manipuleren door SQL code in te spuiten via het 'name' veld in SystemProfileForm. Het misbruik van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot de database en het wijzigen van gebruikersgegevens. Er is momenteel geen officiële patch beschikbaar.
CVE-2018-25257 in het Adianti Framework (versies 5.5.0 en 5.6.0) vormt een aanzienlijk risico op SQL-injectie. Een geauthenticeerde aanvaller kan deze fout uitbuiten door kwaadaardige SQL-code in het veld 'naam' van het SystemProfileForm-formulier te injecteren. Deze manipulatie maakt het mogelijk om databasequery's te wijzigen, wat kan leiden tot wijziging van gebruikersgegevens, inclusief het verkrijgen van administratorrechten. De potentiële impact is volledige overname van het systeem, exfiltratie van gevoelige gegevens en verstoring van diensten. Het ontbreken van een officiële oplossing (fix) verergert de situatie en vereist alternatieve mitigerende maatregelen. Deze kwetsbaarheid is vooral zorgwekkend in omgevingen waar databasesecurity cruciaal is.
De kwetsbaarheid wordt uitgebuit via het gebruikersprofielbewerkingspunt. Een geauthenticeerde aanvaller (d.w.z. met een geldig account in het systeem) kan een HTTP POST-verzoek naar het profielbewerkingspunt sturen en de waarde van het veld 'naam' manipuleren om kwaadaardige SQL-code in te voegen. Deze SQL-code wordt rechtstreeks op de database uitgevoerd, waardoor de aanvaller gegevens kan wijzigen, nieuwe gebruikers met administratorrechten kan aanmaken of zelfs besturingssysteemcommando's kan uitvoeren (afhankelijk van de databaseconfiguratie). De voorafgaande authenticatie van de aanvaller vereenvoudigt de uitbuiting, aangezien ze de aanmeldingsgegevens niet hoeven te compromitteren om de kwetsbaarheid te benutten. De eenvoud van de uitbuiting maakt deze kwetsbaarheid bijzonder gevaarlijk.
Exploit Status
EPSS
0.03% (8% percentiel)
CISA SSVC
CVSS-vector
Aangezien er geen officiële oplossing wordt geleverd door de Adianti Framework-ontwikkelaar, vereist het mitigeren van CVE-2018-25257 een proactieve en veelzijdige aanpak. De meest directe maatregel is het upgraden naar een frameworkversie die deze kwetsbaarheid heeft gepatcht (indien beschikbaar). In afwezigheid van een update, implementeer dan strenge invoervalidatie en -sanering op het veld 'naam' van het SystemProfileForm-formulier om SQL-code-injectie te voorkomen. Pas bovendien het principe van minimale privileges toe, zodat gebruikersaccounts alleen de rechten hebben die nodig zijn om hun taken uit te voeren. Continue monitoring van de database op verdachte activiteiten is cruciaal om potentiële aanvallen te detecteren en erop te reageren. Overweeg ten slotte de implementatie van een Web Application Firewall (WAF) voor een extra beveiligingslaag.
Actualice el Adianti Framework a una versión corregida que solucione la vulnerabilidad de inyección SQL en el formulario de perfil. Consulte la documentación oficial del framework o las notas de la versión para obtener instrucciones específicas sobre cómo realizar la actualización.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Versies 5.5.0 en 5.6.0 zijn de bevestigde kwetsbare versies.
Nee, tot op heden is er geen officiële oplossing beschikbaar gesteld door de Adianti Framework-ontwikkelaar.
Implementeer invoervalidatie en -sanering, pas het principe van minimale privileges toe en bewaak de database op verdachte activiteiten. Overweeg een WAF.
Alle gegevens die in de database zijn opgeslagen, inclusief gebruikersgegevens, persoonlijke informatie en zakelijke gegevens.
Als dat mogelijk is, is het updaten naar een gepatchte versie de beste optie. Zo niet, dan is het implementeren van mitigerende maatregelen cruciaal.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.