CVE-2014-125115 in Pandora FMS
要約
〜によって VulDB • 2026年06月11日
Pandora FMS バージョン 5.0 SP2 およびそれ以前のバージョンには、認証不要の SQL インジェクション脆弱性が存在します。mobile/index.php エンドポイントは、loginhash_data パラメータ内のユーザー入力を適切にサニタイズしないため、攻撃者は作成されたリクエストを通じて管理者の資格情報またはアクティブなセッショントークンを抽出できます。これは、入力が適切な検証なしで SQL クエリに直接連結されるために発生し、SQL インジェクションを可能にします。認証を回避した後、File Manager コンポーネントの第2の脆弱性により、任意の PHP ファイルのアップロードが許可されます。ファイルアップロード機能は MIME タイプやファイル拡張子の制限を適用しないため、認証済みユーザーはパブリックにアクセス可能なディレクトリに Web シェルをアップロードし、リモートコード実行を達成できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.