CVE-2024-37906
Açıklama
Admidio, organizasyonların ve grupların web siteleri için ücretsiz, açık kaynaklı bir kullanıcı yönetim sistemidir. Admidio'nun 4.3.9 sürümünden önceki versiyonlarında, Admidio Uygulamasının `/adm_program/modules/ecards/ecard_send.php` kaynak dosyasında bir SQL Injection bulunmaktadır. Bu SQL Injection, uygulamanın veritabanının ele geçirilmesiyle sonuçlanır. Kaynak kodda `ecard_recipients` POST parametresinin değerinin doğrudan SQL sorgusuyla birleştirilmesi SQL Injection'a neden olmaktadır. Bu SQL Injection; kör koşul tabanlı (blind condition-based), zaman tabanlı (time-based) ve bant dışı etkileşimli (Out of band interaction) SQL Injection yükleri kullanan bir üye kullanıcı tarafından istismar edilebilir. Bu güvenlik açığı 4.3.9 sürümünde giderilmiştir.
Nasıl düzeltilir
- admidio admidio4.3.9 ya da sonraki bir sürüm
- admidio/admidio4.3.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| admidio admidio | v < 4.3.9 | 4.3.9 |
| admidio/admidioPackagist | v < 4.3.9 | 4.3.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.