CVE-2026-27179
Təsvir
MajorDoMo (həmçinin Major Domestic Module kimi tanınır) əmrlər modulunda autentifikasiya tələb etməyən SQL inyeksiyası zəifliyinə malikdir. commands_search.inc.php faylı $_GET['parent'] parametrini təmizləmə və ya parametrləşdirilmiş sorğular olmadan birbaşa çox sayda SQL sorğusuna daxil edir. Əmrlər modulu /objects/?module=commands son nöqtəsi vasitəsilə autentifikasiyasız yüklənə bilir ki, bu da ixtiyari modulları adına görə daxil edir və onların usual() metodunu çağırır. Zaman əsaslı kor (blind) SQL inyeksiyası UNION SELECT SLEEP() sintaksisindən istifadə edilərək istismar edilə bilər. MajorDoMo administrator şifrələrini users cədvəlində duzlanmamış (unsalted) MD5 heşləri şəklində saxladığı üçün, uğurlu istismar etibarlılıq məlumatlarının çıxarılmasına və nəticədə admin panelə girişə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mjdm majordomo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.