Krytyczna luka SQL Injection w phpMyFAQ przed wersją 4.1.9

Co wiadomo

W phpMyFAQ przed wersją 4.1.9 wykryto krytyczną lukę SQL Injection w funkcji PdoMysql::escape(), która nieprawidłowo obsługuje znaki pojedynczego cudzysłowu w trybie NO_BACKSLASH_ESCAPES MySQL/MariaDB. Atakujący mogą wykorzystać tę lukę, wysyłając specjalnie spreparowany znak Unicode w parametrze wyszukiwania api/autocomplete, co pozwala na odczytanie danych uwierzytelniających, modyfikację rekordów lub usunięcie tabel.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa systemów korzystających z phpMyFAQ, umożliwiając nieautoryzowany dostęp do poufnych danych i potencjalne uszkodzenie bazy danych. Organizacje mogą doświadczyć wycieku informacji, utraty integralności danych oraz przerw w działaniu usług, co może negatywnie wpłynąć na reputację i operacje biznesowe.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie phpMyFAQ do wersji 4.1.9 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do interfejsu api/autocomplete oraz monitoruj logi pod kątem podejrzanych zapytań zawierających nietypowe znaki Unicode. Przeprowadź przegląd uprawnień bazy danych i rozważ zastosowanie dodatkowych mechanizmów ochrony przed SQL Injection. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzanie aktualizacjami oraz analizę logów bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference