Apptha Contus Video Gallery bis 2.4 videoId SQL Injection

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.0$0-$5k0.00

Eine Schwachstelle wurde in Apptha Contus Video Gallery bis 2.4 (Photo Gallery Software) gefunden. Sie wurde als kritisch eingestuft. Hierbei geht es um unbekannter Programmcode. Durch Manipulieren des Arguments videoId mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-89. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Multiple SQL injection vulnerabilities in the Apptha WordPress Video Gallery (contus-video-gallery) plugin 2.5, possibly as distributed before 2014-07-23, for WordPress allow (1) remote attackers to execute arbitrary SQL commands via the vid parameter in a myextract action to wp-admin/admin-ajax.php or (2) remote authenticated users to execute arbitrary SQL commands via the playlistId parameter in the newplaylist page or (3) videoId parameter in a newvideo page to wp-admin/admin.php.

Die Schwachstelle wurde am 26.11.2014 durch Claudio Viviani (Website) veröffentlicht. Das Advisory kann von wordpress.org heruntergeladen werden. Die Identifikation der Schwachstelle findet seit dem 26.11.2014 als CVE-2014-9097 statt. Sie gilt als leicht ausnutzbar. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1505.

Ein Upgrade auf die Version 2.5 vermag dieses Problem zu beheben.

Von weiterem Interesse können die folgenden Einträge sein: 73005.

Produktinfo

Typ

Hersteller

Name

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 7.0

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Contus Video Gallery 2.5

Timelineinfo

24.07.2014 🔍
26.11.2014 +125 Tage 🔍
26.11.2014 +0 Tage 🔍
26.11.2014 +0 Tage 🔍
27.03.2015 +121 Tage 🔍
04.04.2022 +2565 Tage 🔍

Quelleninfo

Advisory: 127611
Person: Claudio Viviani
Status: Nicht definiert

CVE: CVE-2014-9097 (🔍)
SecurityFocus: 68883 - WordPress Video Gallery Plugin Multiple SQL Injection and Cross Site Scripting Vulnerabilities

Siehe auch: 🔍

Eintraginfo

Erstellt: 27.03.2015 14:56
Aktualisierung: 04.04.2022 15:57
Anpassungen: 27.03.2015 14:56 (49), 07.04.2018 10:18 (6), 04.04.2022 15:57 (3)
Komplett: 🔍
Cache ID: 3:A55:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!