CVE-2014-125115 in Pandora FMS
Tóm tắt
Bởi VulDB • 30/06/2026
Một lỗ hổng SQL injection chưa được xác thực tồn tại trong Pandora FMS phiên bản 5.0 SP2 và các phiên bản cũ hơn. Điểm cuối mobile/index.php không kiểm tra kỹ đầu vào của người dùng trong tham số loginhash_data, cho phép kẻ tấn công trích xuất thông tin đăng nhập của quản trị viên hoặc mã thông báo phiên đang hoạt động thông qua các yêu cầu được tạo ra đặc biệt (crafted requests). Lỗ hổng này xảy ra do dữ liệu đầu vào được nối trực tiếp vào truy vấn SQL mà không có xác thích đáng, dẫn đến khả năng thực thi SQL injection. Sau khi vượt qua cơ chế xác thực, một lỗ hổng thứ hai trong thành phần File Manager cho phép tải lên các tệp PHP tùy ý (arbitrary). Chức năng tải lên tệp không áp dụng các hạn chế về loại MIME hoặc phần mở rộng tệp, cho phép người dùng đã được xác thực tải lên web shell vào thư mục có thể truy cập công khai và đạt được khả năng thực thi mã từ xa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.