CVE-2014-3704
La funzione expandArguments nell'API di astrazione del database in Drupal core 7.x precedente alla 7.32 non costruisce correttamente le dichiarazioni...
- Pubblicato
- 16 ott 2014
- Aggiornato
- 6 ago 2024
- Assegnazione CNA
- redhat
- Evidenza osservata
- 16 ott 2014
CVSS primario
nvd · CVSS 2.0
AV:N/AC:L/Au:N/C:P/I:P/A:PAlto · prossimi 30 giorni
- Percentile
- 100,0%
- Data del modello
- 11 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
La funzione expandArguments nell'API di astrazione del database in Drupal core 7.x precedente alla 7.32 non costruisce correttamente le dichiarazioni preparate, il che consente a utenti remoti malintenzionati di effettuare attacchi di SQL injection tramite un array contenente chiavi appositamente create.
Fonti
- Drupal SQL InjectionModello
http/cves/2014/CVE-2014-3704.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- Drupal < 7.32 "Drupalgeddon" SQL InjectionLaboratorio
drupal/CVE-2014-3704
Drupal < 7.32 "Drupalgeddon" SQL Injection (CVE-2014-3704)
Vulhub vulnerability labsCondizioni dichiarate
- lab image version: vulhub/drupal:7.31(drupal/CVE-2014-3704/docker-compose.yml:services.web.image)
- lab image version: mysql:5.5(drupal/CVE-2014-3704/docker-compose.yml:services.mysql.image)
modules/exploits/multi/http/drupal_drupageddon.rb
Metasploit Framework modulesCondizioni dichiarate
- platform: PHP($.exploit_multi/http/drupal_drupageddon.platform)
- verification: check_not_declared($.exploit_multi/http/drupal_drupageddon.check)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.