CVE-2014-125115 in Pandora FMS
الملخص
بحسب VulDB • 30/06/2026
توجد ثغرة حقن SQL غير مصادق عليها في Pandora FMS الإصدار 5.0 SP2 والإصدارات الأقدم. يفشل نقطة النهاية mobile/index.php في تنقية إدخال المستخدم بشكل صحيح في معلمة loginhash_data، مما يسمح للمهاجمين باستخراج بيانات اعتماد المسؤول أو رموز الجلسة النشطة عبر طلبات مُعدّة بعناية. يحدث هذا لأن الإدخال يتم إلحاقه مباشرةً بعبارة SQL دون تحقق كافٍ، مما يتيح حقن SQL. بعد تجاوز المصادقة، تسمح ثغرة ثانية في مكون مدير الملفات (File Manager) بتحميل ملفات PHP بشكل تعسفي. لا يفرض وظيفة تحميل الملفات قيودًا على نوع MIME أو امتداد الملف، مما يسمح للمستخدمين المصادق عليهم برفع أصداف الويب (web shells) إلى دليل يمكن الوصول إليه علنًا وتحقيق تنفيذ الكود عن بُعد.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.