phpTransformer 2016.9 содержит уязвимость SQL-инъекции, которая позволяет удаленным злоумышленникам выполнять произвольные запросы SQL, внедряя вредоносный код через параметр idnews. Злоумышленники могут отправлять созданные запросы GET к GeneratePDF.php с полезными данными SQL в параметре idnews для извлечения конфиденциальной информации из базы данных или манипулирования запросами.
Показать оригинальное описание (EN)
phpTransformer 2016.9 contains an SQL injection vulnerability that allows remote attackers to execute arbitrary SQL queries by injecting malicious code through the idnews parameter. Attackers can send crafted GET requests to GeneratePDF.php with SQL payloads in the idnews parameter to extract sensitive database information or manipulate queries.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
http://phptransformer.com/
disclosure@vulncheck.com
https://netcologne.dl.sourceforge.net/project/phptransformer/Version%202016.9/r…
disclosure@vulncheck.com
https://www.exploit-db.com/exploits/46191
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/phptransformer-sql-injection-via-generatep…
disclosure@vulncheck.com