Vulnerabilidades de inyección de SQL y XSS en PHP Fusion

Especialistas de una empresa de pentest acaban de revelar el hallazgo de múltiples vulnerabilidades en PHP Fusion, un sistema de gestión de contenidos (CMS) de código abierto escrito en PHP y que cuenta con una base de datos MySQL para almacenar contenido dinámico. La explotación de estas fallas podría conducir a escenarios como la inyección SQL, ataques de scripts entre sitios (XSS), entre otros.

A continuación se presentan algunos detalles sobre las vulnerabilidades encontradas, con sus respectivas claves del Common Vulnerability Scoring System (CVSS). Cabe destacar que una de las vulnerabilidades aún no ha recibido una clave CVSS.

CVE-2020-12461: Esta vulnerabilidad permite que un actor de amenazas remoto ejecute consultas SQL arbitrarias en la base de datos de PHP Fusion. Acorde a los expertos de la empresa de pentest, esta falla existe debido a la inadecuada depuración de los datos proporcionados por el usuario en maincore.php cuando se procesa el parámetro GET “sort_order” en la página de búsqueda de miembros members.php.

Los hackers maliciosos podrían enviar una solicitud especialmente diseñada a la aplicación vulnerable y ejecutar comandos SQL arbitrarios dentro de la base de datos de la aplicación. De ser explotada con éxito, esta falla permitiría a los hackers leer, eliminar o modificar la información en la base de datos y obtener control completo de la aplicación expuesta.

La falla cuenta con un puntaje de 8/10 en la escala del CVSS, por lo que se le considera una vulnerabilidad crítica.

CVE-2020-12438: Esta falla existe debido a una incorrecta depuración de los datos proporcionados por el usuario en el script banners.php y podría ser explotada para lanzar ataques de scripts entre sitios (XSS).

Los actores de amenazas pueden engañar a la víctima para que haga clic en un enlace especialmente diseñado y ejecute HTML arbitrario y código de script en el navegador del usuario en el contexto de un sitio vulnerable. La explotación exitosa de esta vulnerabilidad permitiría que un atacante remoto robe información confidencial, cambie aspectos gráficos de la página web, realice ataques de phishing, entre otros.

La falla recibió un puntaje de 3/10 en la escala CVSS, por lo que se le considera una vulnerabilidad de baja gravedad.

Por último, los especialistas de la empresa de pentest detectaron una vulnerabilidad que permite a un hacker malicioso desplegar ataques XSS. Esta falla existe debido a la desinfección insuficiente de los datos proporcionados por el usuario pasados a los scripts “/submit.php” y “/infusions/downloads/downloads.php”. Un actor de amenazas remoto puede inyectar y ejecutar permanentemente código arbitrario de HTML y script en el navegador del usuario en el contexto de un sitio web vulnerable. Por el momento se desconocen mayores detalles técnicos sobre esta falla.

Por ahora no existen parches para corregir estas vulnerabilidades, por lo que el Instituto Internacional de Seguridad Cibernética (IICS) recomienda a los administradores de implementaciones afectadas permanecer al tanto de las plataformas oficiales del CMS para instalar las actualizaciones en cuanto estén disponibles.  

El cargo Vulnerabilidades de inyección de SQL y XSS en PHP Fusion apareció primero en Noticias de seguridad informática | Ciberseguridad | Hacking.

Ver Fuente