Platform
php
Component
resourcespace
Opgelost in
8.6.1
CVE-2019-25693 beschrijft een SQL Injection kwetsbaarheid in ResourceSpace versie 8.6. Deze kwetsbaarheid stelt geauthenticeerde aanvallers in staat om willekeurige SQL-query's uit te voeren, wat kan leiden tot datalekken en compromittering van de database. De kwetsbaarheid is gevonden in het bestand collection_edit.php, specifiek via de 'keywords' parameter. Het is essentieel om te upgraden naar een beveiligde versie om deze risico's te mitigeren.
Een succesvolle exploitatie van CVE-2019-25693 kan verstrekkende gevolgen hebben. Aanvallers kunnen gevoelige database-informatie extraheren, waaronder schema namen, gebruikerscredentials en andere vertrouwelijke data. Dit kan leiden tot volledige controle over de ResourceSpace installatie en mogelijk toegang tot andere systemen die met de database verbonden zijn. De impact is vergelijkbaar met andere SQL Injection kwetsbaarheden waarbij de database direct benaderd kan worden. Het risico is aanzienlijk, vooral in omgevingen waar ResourceSpace wordt gebruikt voor het opslaan van kritieke bedrijfsgegevens.
Er is geen publieke exploitatie van CVE-2019-25693 bekend op het moment van schrijven. De kwetsbaarheid is gepubliceerd op 2026-04-12. De KEV status is momenteel onbekend. Er zijn geen actieve campagnes bekend die deze specifieke kwetsbaarheid uitbuiten, maar de mogelijkheid blijft bestaan gezien de ernst van SQL Injection kwetsbaarheden.
Organizations using ResourceSpace 8.6, particularly those with sensitive data stored in their databases, are at risk. Environments with weak password policies or compromised user accounts are especially vulnerable, as an attacker could leverage these credentials to exploit the SQL injection flaw.
• php / server:
grep -r 'keywords parameter in collection_edit.php' /var/www/html/• generic web:
curl -X POST -d "keywords='; DROP TABLE users;--" http://your-resourcespace-instance/collection_edit.php | grep -i 'error in your query'disclosure
Exploit Status
EPSS
0.02% (4% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2019-25693 is het upgraden naar een beveiligde versie van ResourceSpace. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge input validatie op de 'keywords' parameter in collectionedit.php. Een Web Application Firewall (WAF) kan ook worden geconfigureerd om SQL Injection pogingen te detecteren en te blokkeren. Controleer de ResourceSpace logs op verdachte SQL-query's die afkomstig zijn van de 'keywords' parameter. Na de upgrade, verifieer de fix door een poging te doen om een SQL Injection payload via de 'keywords' parameter in collectionedit.php te injecteren.
Werk ResourceSpace bij naar een gecorrigeerde versie. Raadpleeg de officiële ResourceSpace documentatie of website voor specifieke instructies over hoe u kunt updaten en beveiligingspatches kunt toepassen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2019-25693 is a SQL injection vulnerability in ResourceSpace 8.6 that allows authenticated attackers to execute SQL queries through the keywords parameter, potentially exposing sensitive data.
If you are running ResourceSpace version 8.6 and have not applied a patch, you are potentially affected by this vulnerability. Authentication is required to exploit it.
Upgrade ResourceSpace to a patched version that addresses the SQL injection vulnerability. Input validation and WAF rules can provide temporary mitigation.
There is currently no widespread evidence of active exploitation of CVE-2019-25693, but it remains a significant risk.
Refer to the ResourceSpace security advisories page for the latest information and updates regarding CVE-2019-25693.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.