PT-2020-15379 · Fastadmin · Fastadmin-Tp6+1

Publicado 2020-11-17 · Atualizado 2020-12-09 · CVE-2020-21665

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

fastadmin versão 1.0.0.20191212 beta

fastadmin-tp6 versão 1.0

Descrição

A vulnerabilidade permite a injeção de SQL quando um parâmetro malicioso é passado na URL /admin/ajax/weigh, após um usuário com direitos de administrador ter feito login. O parâmetro table no arquivo app/admin/controller/Ajax.php não é filtrado, possibilitando a injeção de SQL.

Recomendações

Para a versão 1.0.0.20191212 beta do fastadmin, considere restringir o acesso à URL /admin/ajax/weigh até que uma correção esteja disponível.

Para a versão 1.0 do fastadmin-tp6, evite usar o parâmetro table no arquivo app/admin/controller/Ajax.php até que o problema seja resolvido.

Como solução temporária, considere desativar a funcionalidade vulnerável à injeção de SQL na URL /admin/ajax/weigh até que uma correção esteja disponível.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-21665

Produtos afetados

Fastadmin

Fastadmin-Tp6

Referências · 8

• https://github.com/karsonzhang/fastadmin/commit/e14008ca029d644e2486873fa22629a1d62a7380 · Correção
• https://t.me/cibsecurity/17321 · Publicação no Telegram
• https://t.me/cibsecurity/17325 · Publicação no Telegram
• https://t.me/cibsecurity/17333 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-21665 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-21665 · Nota de Segurança
• https://t.me/cibsecurity/16453 · Publicação no Telegram
• https://t.me/cvenotify/5722 · Publicação no Telegram