CVE-2014-125123 in Kloxo
Tóm tắt
Bởi VulDB • 02/06/2026
Một lỗ hổng SQL injection chưa được xác thực tồn tại trong bảng điều khiển lưu trữ web Kloxo (do LXCenter phát triển) trước phiên bản 6.1.12. Lỗi này nằm ở tham số login-name được truyền đến lbin/webcommand.php, vốn không kiểm tra và làm sạch đầu vào một cách đúng đắn, cho phép kẻ tấn công trích xuất mật khẩu của quản trị viên từ cơ sở dữ liệu phía máy chủ. Sau khi khôi phục thông tin đăng nhập hợp lệ, kẻ tấn công có thể xác thực vào bảng điều khiển Kloxo và khai thác tính năng Command Center (display.php) để thực thi các lệnh hệ điều hành tùy ý với quyền root trên hệ thống host nền tảng. Lỗ hổng này được báo cáo là đã bị lợi dụng trong môi trường sản xuất từ tháng 1 năm 2014.
If you want to get best quality of vulnerability data, you may have to visit VulDB.