管理中的 Pimcore Admin 经典捆绑包 SQL 注入下载 zip 文件 (CVE-2024-23646)
CVE编号
CVE-2024-23646利用情况
暂无补丁情况
N/A披露时间
2024-01-25漏洞描述
Pimcore的Admin Classic Bundle为Pimcore提供了一个后端用户界面。该应用允许用户从站点上的可用文件创建zip文件。在1.x分支的1.3.2版本之前，参数selectedIds容易受到SQL注入攻击。任何具有基本权限的后端用户可以执行任意SQL语句，从而修改任何数据或升级其权限至至少管理员级别。版本1.3.2中解决了此问题。解决建议
"将组件 pimcore/admin-ui-classic-bundle 升级至 1.3.2 及以上版本"- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 低
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-89 | SQL命令中使用的特殊元素转义处理不恰当（SQL注入） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论