ally-petitt/cve-2023-45503CVE-2023-45503 Referência
No Macrob7 Macs Framework Content Management System (CMS), versões 1.1.4f e anteriores, o tratamento inseguro da entrada do utilizador leva a 16 vulnerabilidades de injeção de SQL. A capacidade de executar consultas SQL arbitrárias pode levar à fuga de dados privados, incluindo hashes de palavras-passe dos utilizadores e à capacidade de modificar as credenciais e o nível de privilégio de outros utilizadores. O impacto pode incluir escalonamento de privilégios e potencial execução remota de código (RCE).
Uma folha de cálculo que descreve cada endpoint afetado, parâmetro vulnerável e funções vulneráveis pode ser encontrada em este link.
Classificação CWE: CWE-89: Neutralização Incorreta de Elementos Especiais utilizados num Comando SQL ('Injeção de SQL')
Reportado Por: Ally Petitt
Produto Afetado: Macrob7 Macs CMS
Versões Afetadas: 1.1.4f e anteriores
Em 16 instâncias que identifiquei, a entrada do utilizador foi recebida sem sanitização ou parametrização adequada. Por exemplo, na funcionalidade "Esqueceu a Palavra-passe" deste CMS, é solicitado um endereço de email.
Application/plugins/CMS/controllers/CMS.php:224
public function forgotPasswordProcess()
{
$this->loadModels();
$emailAddress = Post::getByKey('emailAddress');
$user = $this->usersModel->getUserByEmailAddress($emailAddress);
O endereço de email é então passado para o método , que passa o email para , um método que não protege adequadamente contra consultas SQL injetadas.
getUserByEmailAddress()selectSingle()Application/plugins/CMS/models/Users_Model.php:41
public function getUserByEmailAddress($emailAddress)
{
return $this->selectSingle( $this->getCMSTableNameUsers(), array('EmailAddress'=>$emailAddress));
}
Em seguida, selectSingle() chama select() com a entrada do utilizador passada.
Application/core/DB.php:200
public function selectSingle($tableName, array $where = array(), array $fields = array('*'))
{
$return = $this->select($tableName, $where, $fields);
$single = NULL;
if( count($return) > 0 )
$single = $return[0];
return $single;
}
A função vulnerável select() procede à concatenação dos parâmetros que lhe são passados numa consulta SQL que é subsequentemente executada.
Application/core/DB.php:186
public function select($tableName, array $where = array(), array $fields = array('*'))
{
$fieldsString = $this->generatePair($fields, ',');
$whereString = $this->generateKeyValuePair($where, '=', 'AND');
$sql = 'SELECT '.$fieldsString.' FROM '.$tableName;
if($whereString !='')
$whereString = ' WHERE '.$whereString;
$sql = $sql.' '.$whereString.';';
return $this->execute($sql)->fetchAll($this->returnType, $this->className);
}
Devido à falta de sanitização, validação e parametrização da entrada, esta função permanece vulnerável a ataques de injeção de SQL.
Infelizmente, a falta de manutenção neste CMS significa que uma atualização corrigida não está disponível. Utilizadores individuais podem modificar o código para incluir consultas SQL parametrizadas, em vez de depender da concatenação para passar a entrada do utilizador para a base de dados. Instruções preparadas são um exemplo de mitigação que pode atingir esse objetivo.