CoreShop — это расширенное решение для электронной коммерции Pimcore. До версии 4.1.8 в приложении существовала уязвимость слепого внедрения SQL-кода, которая позволяла аутентифицированному пользователю с правами администратора извлекать содержимое базы данных с использованием логических методов или методов на основе времени. Учетная запись базы данных, используемая приложением, доступна только для чтения и не является администратором базы данных, что ограничивает воздействие только раскрытием конфиденциальных данных.
Никакое изменение данных или сбой в обслуживании невозможен. Эта проблема исправлена в версии 4.1.8.
Показать оригинальное описание (EN)
CoreShop is a Pimcore enhanced eCommerce solution. Prior to version 4.1.8, a blind SQL injection vulnerability exists in the application that allows an authenticated administrator-level user to extract database contents using boolean-based or time-based techniques. The database account used by the application is read-only and non-DBA, limiting impact to confidential data disclosure only. No data modification or service disruption is possible. This issue has been patched in version 4.1.8.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Coreshop Coreshop
cpe:2.3:a:coreshop:coreshop:*:*:*:*:*:*:*:*
|
— |
4.1.8
|