CVE-2020-35674
Açıklama
BigProf Online Invoicing System 2.9 öncesi sürümleri, /membership_passwordReset.php (kendi kendine şifre sıfırlama işlemlerinden sorumlu uç nokta) üzerinde kimlik doğrulaması gerektirmeyen bir SQL Injection zafiyetine sahiptir. Kimlik doğrulaması yapmamış bir saldırgan, veritabanından hassas bilgilerin çıkarılmasına neden olabilecek ve nihayetinde uygulamanın ele geçirilmesine yol açabilecek özel olarak hazırlanmış bir yük içeren istek gönderebilir. Bu zafiyet, geliştiricinin uygulamanın eski ortamlarda kullanılabilmesini sağlamak amacıyla kendi temizleme (sanitization) uygulamasını geliştirmeye çalışması sonucunda ortaya çıkmıştır.
Nasıl düzeltilir
- bigprof online_invoicing_system2.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bigprof online_invoicing_system | v < 2.9 | 2.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.