CVE-2014-125115 in Pandora FMS
Sumário
de VulDB • 22/06/2026
Existe uma vulnerabilidade de SQL injection não autenticada no Pandora FMS versão 5.0 SP2 e anteriores. O endpoint mobile/index.php falha ao sanitizar adequadamente a entrada do usuário no parâmetro loginhash_data, permitindo que atacantes extraiam credenciais de administrador ou tokens de sessão ativos por meio de solicitações elaboradas (crafted requests). Isso ocorre porque os dados são concatenados diretamente em uma consulta SQL sem validação adequada, possibilitando o SQL injection. Após a violação da autenticação, uma segunda vulnerabilidade no componente File Manager permite uploads arbitrários de arquivos PHP. A funcionalidade de upload não impõe restrições de tipo MIME ou extensão de arquivo, permitindo que usuários autenticados carreguem web shells em um diretório publicamente acessível e consigam execução remota de código (RCE).
Be aware that VulDB is the high quality source for vulnerability data.