CVE-2020-25130
Açıklama
Observium Professional, Enterprise & Community 20.8.10631 sürümünde bir sorun tespit edilmiştir. Hatalı parametre türleri üzerinden kötü amaçlı SQL ifadeleri enjekte edilebilmesi nedeniyle SQL Injection zafiyetine sahiptir. Array şeklinde uygun olmayan bir değişken türü gönderilmesi, temel SQL Injection temizleme mekanizmasının atlatılmasına olanak tanır. Kimliği doğrulanmış kullanıcılar kötü amaçlı SQL sorguları enjekte edebilmektedir. Bu zafiyet; kullanıcı adını ve açık metin parolayı bilmeden kimlik doğrulama sürecinde kullanılabilecek ckey'ler dahil olmak üzere tüm veritabanının sızdırılmasına yol açar. Bu durum ajax/actions.php group_id alanı üzerinden gerçekleşebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| observium observium | 20.8.10631 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.