vBulletin 4.2.0/4.2.1/4.2.2 XMLRPC API breadcrumbs_create.php conceptid حقن SQL
| CVSS الدرجة المؤقتة للميتا | سعر الإكسبلويت الحالي (≈) | درجة اهتمام CTI |
|---|---|---|
| 6.3 | $0-$5k | 0.00 |
الملخص
ثغرة أمنية مصنفة على أنها مشكلة صعبة الحل تم أيجادها في vBulletin 4.2.0/4.2.1/4.2.2. المشكلة أثرت على دالة غير معروفة من الملف breadcrumbs_create.php من العنصر XMLRPC API. تؤدي عملية التلاعب بالوسيط conceptid إلى حقن SQL. تم تسمية الثغرة بأسمCVE-2014-2022. يمكن البدأ بالهجوم هذا عن بعد. هنالك إكسبلويت متوفرة.
التفاصيل
ثغرة أمنية مصنفة على أنها مشكلة صعبة الحل تم أيجادها في vBulletin 4.2.0/4.2.1/4.2.2. المشكلة أثرت على دالة غير معروفة من الملف breadcrumbs_create.php من العنصر XMLRPC API. تؤدي عملية التلاعب بالوسيط conceptid إلى حقن SQL. أستخدام الـ سي دبليو أي للأعلان عن المشكلة يؤدي إلى CWE-89. تم نشر الضعف 13/10/2014 بواسطة tintinweb كـ vbulletin 4.x - SQLi in breadcrumbs via xmlrpc API (post-auth) كـ Posting (Full-Disclosure). يمكن تحميل الاستشارة من هنا github.com.
تم تسمية الثغرة بأسمCVE-2014-2022. تم إصدار CVE في 19/02/2014. يمكن البدأ بالهجوم هذا عن بعد. التفاصيل التقنية متوفرة. التقارير تشير بأن الثغرة الأمنية هذه ذات شهرة أقل من المتوسط. هنالك إكسبلويت متوفرة. تم نشر تفاصيل الاستغلال للعامة وقد يُستخدم. يصرح مشروع MITRE ATT&CK بأن تقنية الهجوم هي T1505.
إذا وُجد فعالة للغاية، فإنه يُصرح به كـ فعالة للغاية. الإكسبلويت يمكن تحميلها من هناt github.com. تم تصنيف الثغرة كاستغلال يوم-صفر غير معلن لمدة لا تقل عن 272 يومًا. بلغ السعر التقديري لثغرة يوم الصفر في السوق السوداء حوالي $0-$5k. خدمة فحص الشبكات كويلس يمكنها الكشف عن هذه الثغرة الأمنية بواسطة ملحق11664 (vBulletin Breadcrumbs XMLRPC API SQL Injection Vulnerability.).
الثغرة الأمنية هذه تم تسجيلها في قواعد بيانات آخرى: SecurityFocus (BID 70417), X-Force (97032) , SecurityTracker (ID 1031001).
منتج
النوع
الأسم
النسخة
الرخصة
CPE 2.3
CPE 2.2
CVSSv4
VulDB متجه: 🔍VulDB الاعتمادية: 🔍
CVSSv3
VulDB الدرجة الأساسية للميتا: 6.3VulDB الدرجة المؤقتة للميتا: 6.3
VulDB الدرجة الأساسية: 6.3
VulDB الدرجة المؤقتة: 6.3
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| متجه | التعقيد | توثيق | السرية | الأمانة | التوفر |
|---|---|---|---|---|---|
| افتح | افتح | افتح | افتح | افتح | افتح |
| افتح | افتح | افتح | افتح | افتح | افتح |
| افتح | افتح | افتح | افتح | افتح | افتح |
VulDB الدرجة الأساسية: 🔍
VulDB الدرجة المؤقتة: 🔍
VulDB الاعتمادية: 🔍
NVD الدرجة الأساسية: 🔍
استغلال
الفئة: حقن SQLCWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
ملموس: لا
محلي: لا
عن بُعد: نعم
التوفر: 🔍
وصول: عام
الحالة: فعالة للغاية
المؤلف: tintinweb (tintinweb)
تحميل: 🔍
Google Hack: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
تقدير السعر: 🔍
تقدير السعر الحالي: 🔍
| 0-Day | افتح | افتح | افتح | افتح |
|---|---|---|---|---|
| اليوم | افتح | افتح | افتح | افتح |
Qualys ID: 🔍
Qualys الأسم: 🔍
Exploit-DB: 🔍
استخبارات التهديد
الاهتمام: 🔍الفاعلون النشطون: 🔍
مجموعات APT النشطة: 🔍
إجراءات مضادة
التوصية: لا يوجد تخفيف معروفالحالة: 🔍
زمن الهجوم الفوري: 🔍
وقت تأخير الاستغلال: 🔍
الجدول الزمني
14/01/2014 🔍19/02/2014 🔍
12/10/2014 🔍
13/10/2014 🔍
13/10/2014 🔍
13/10/2014 🔍
14/10/2014 🔍
14/10/2014 🔍
15/10/2014 🔍
29/05/2025 🔍
المصادر
استشارة: vbulletin 4.x - SQLi in breadcrumbs via xmlrpc API (post-auth)باحث: tintinweb
الحالة: مؤكد
CVE: CVE-2014-2022 (🔍)
GCVE (CVE): GCVE-0-2014-2022
GCVE (VulDB): GCVE-100-67787
X-Force: 97032 - vBulletin breadcrumbs_create.php SQL injection, High Risk
SecurityFocus: 70417 - vBulletin 'breadcrumbs_create.php' SQL Injection Vulnerability
SecurityTracker: 1031001 - vBulletin Input Validation Flaw in XMLRPC API Lets Remote Users Inject SQL Commands
scip Labs: https://www.scip.ch/en/?labs.20161013
اقرأ أيضاً: 🔍
إدخال
تم الإنشاء: 14/10/2014 12:10 PMتم التحديث: 29/05/2025 03:26 PM
التغييرات: 14/10/2014 12:10 PM (73), 11/09/2017 08:54 AM (4), 29/05/2025 03:26 PM (16)
كامل: 🔍
Cache ID: 216::103
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
لا توجد تعليقات بعد اللغات: ar + fa + en.
يرجى تسجيل الدخول حتى تتمكن من التعليق