CVE-2019-25674 是一个影响 CMSsite 1.0 的SQL注入漏洞，允许未经身份验证的攻击者通过注入恶意SQL代码来提取数据库信息。攻击者可以通过向 post.php 发送带有恶意 'post' 值的 GET 请求来利用此漏洞。该漏洞影响 CMSsite 1.0 版本，目前尚未发布官方补丁。
CMSsite 1.0 中的 CVE-2019-25674 漏洞对使用此 CMS 的网站构成了重大安全风险。 这是一个未经身份验证的 SQL 注入漏洞，这意味着攻击者无需凭据即可利用它。 SQL 注入允许攻击者操纵数据库查询，从而可能导致提取敏感信息（例如用户名、密码、客户数据）或修改/删除数据。 缺乏修复程序 (fix) 恶化了情况，使网站容易受到攻击。 潜在影响包括声誉受损、数据丢失、服务中断以及潜在的法律后果。
该漏洞是通过向 post.php 发送带有操作过的 post 参数的 GET 请求来利用的。 攻击者可以将恶意 SQL 代码注入到此参数中，然后将其对数据库执行。 由于不需要身份验证，因此任何可以访问 URL 的人都可能尝试利用此漏洞。 还可以使用基于时间的盲 SQL 注入技术从数据库中提取信息，即使没有来自数据库的直接响应也是如此。 漏洞利用的简易性使其特别危险，因为它可能被具有不同技能水平的攻击者利用。
Organizations utilizing CMSsite version 1.0.0–1.0, particularly those hosting the application on shared hosting environments or without robust input validation practices, are at significant risk. Systems where CMSsite handles sensitive user data or critical business processes are especially vulnerable.
• php / server:
grep -r "SELECT .* FROM" /var/www/html/cmsite/• php / server:
find /var/www/html/cmsite/ -name "post.php" -print• generic web:
curl -I http://your-cmssite-url/post.php?post=' --header 'Cookie: PHPSESSID=your_session_id'漏洞利用状态
EPSS
0.24% (48% 百分位)
CISA SSVC
CVSS 向量
由于 CVE-2019-25674 没有官方修复程序 (fix)，缓解措施侧重于预防性和检测措施。 最重要的步骤是立即停止使用 CMSsite 1.0。 如果无法升级，请实施 Web 应用程序防火墙 (WAF)，该防火墙能够检测和阻止 SQL 注入尝试。 定期对源代码和数据库进行安全审计也很重要，以便识别和修复潜在的漏洞。 监控服务器日志中是否存在可疑活动（例如，使用恶意 'post' 参数向 post.php 发送异常的 GET 请求）可以帮助检测正在进行的攻击。 限制对数据库的访问并应用最小权限原则可以在成功利用的情况下限制潜在损害。
Actualice CMSsite a una versión corregida que solucione la vulnerabilidad de inyección SQL en el parámetro 'post'. Verifique la documentación del proveedor para obtener instrucciones específicas de actualización. Además, implemente validación y saneamiento de entradas para prevenir futuras inyecciones SQL.
漏洞分析和关键警报直接发送到您的邮箱。
SQL 注入是一种攻击，它允许攻击者将恶意 SQL 代码插入 Web 应用程序以操纵数据库。
因为它不需要身份验证，并且可能允许攻击者访问、修改或删除敏感数据。
立即停止使用 CMSsite 1.0 并寻找更安全的替代方案。
有漏洞扫描器和渗透测试工具可以帮助识别漏洞。
实施安全编码实践、定期进行安全审计并保持软件更新。