CiviCRM 至 4.4 _value sql 注入漏洞

admin 2023-12-07 11:25:29 Ali_nvd 来源:ZONE.CI 全球网 0 阅读模式
中危 CiviCRM 至 4.4 _value sql 注入漏洞

CVE编号

CVE-2013-5957

利用情况

暂无

补丁情况

官方补丁

披露时间

2013-11-28
漏洞描述
CiviCRM是一款开源的关系管理系统。 CiviCRM CRM/Core/Page/AJAX/Location.php脚本未能正确过滤用户提交的输入,允许攻击者通过传递给ajax/jqState或ajax/jqcounty的_value值,提交特制的SQL查询,可操作或读取数据库数据。
解决建议
CiviCRM 4.2.12,4.3.7, 4.4 beta4已经修复该漏洞,建议用户下载更新:http://www.civicrm.org
参考链接
https://civicrm.org/advisory/civi-sa-2013-009-sql-injection-vulnerability
https://github.com/civicrm/civicrm-core/pull/1708.diff
https://www.navixia.com/blog/entry/navixia-finds-critical-vulnerability-in-ci...
https://www.navixia.com/company/navixia-news/395-navixia-finds-critical-vulne...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 civicrm civicrm * Up to (including) 4.2.11
运行在以下环境
应用 civicrm civicrm 4.2.0 -
运行在以下环境
应用 civicrm civicrm 4.2.1 -
运行在以下环境
应用 civicrm civicrm 4.2.10 -
运行在以下环境
应用 civicrm civicrm 4.2.2 -
运行在以下环境
应用 civicrm civicrm 4.2.4 -
运行在以下环境
应用 civicrm civicrm 4.2.5 -
运行在以下环境
应用 civicrm civicrm 4.2.6 -
运行在以下环境
应用 civicrm civicrm 4.2.7 -
运行在以下环境
应用 civicrm civicrm 4.2.8 -
运行在以下环境
应用 civicrm civicrm 4.2.9 -
运行在以下环境
应用 civicrm civicrm 4.3.0 -
运行在以下环境
应用 civicrm civicrm 4.3.1 -
运行在以下环境
应用 civicrm civicrm 4.3.2 -
运行在以下环境
应用 civicrm civicrm 4.3.3 -
运行在以下环境
应用 civicrm civicrm 4.3.4 -
运行在以下环境
应用 civicrm civicrm 4.3.5 -
运行在以下环境
应用 civicrm civicrm 4.3.6 -
运行在以下环境
应用 civicrm civicrm 4.4 -
运行在以下环境
系统 debian_11 civicrm * Up to (excluding) 5.33.2+dfsg1-1
运行在以下环境
系统 debian_sid civicrm * Up to (excluding) 5.53.0+dfsg1-1
阿里云评分 6.2
  • 攻击路径 本地
  • 攻击复杂度 复杂
  • 权限要求 普通权限
  • 影响范围 越权影响
  • EXP成熟度 未验证
  • 补丁情况 官方补丁
  • 数据保密性 无影响
  • 数据完整性 无影响
  • 服务器危害 无影响
  • 全网数量 N/A
CWE-ID 漏洞类型
CWE-89 SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
- avd.aliyun.com
weinxin
版权声明
本站原创文章转载请注明文章出处及链接,谢谢合作!
N/A Ali_nvd

N/A

N/ACVE编号 CVE-2024-9120利用情况 暂无补丁情况 N/A披露时间 2024-09-23漏洞描述Use after free in Dawn
评论:0   参与:  0