CVE-2014-125115 in Pandora FMS
Сводка
по VulDB • 29.06.2026
Уязвимость SQL-инъекции без необходимости аутентификации существует в Pandora FMS версий 5.0 SP2 и более ранних. Конечная точка mobile/index.php не обеспечивает надлежащей очистки пользовательского ввода в параметре loginhash_data, что позволяет злоумышленникам извлекать учетные данные администратора или токены активных сессий посредством специально созданных запросов. Это происходит потому, что ввод напрямую конкатенируется в SQL-запрос без достаточной проверки, что приводит к SQL-инъекции. После обхода аутентификации вторая уязвимость в компоненте File Manager позволяет загружать произвольные PHP-файлы. Функционал загрузки файлов не накладывает ограничений на MIME-тип или расширение файла, позволяя авторизованным пользователям загружать веб-шеллы в общедоступную директорию и достигать удаленного выполнения кода (RCE).
If you want to get best quality of vulnerability data, you may have to visit VulDB.