検出

vBulletin < 5.5.6 パッチレベル 1 / 5.6.0 < 5.6.0 パッチレベル 1 / 5.6.1 < 5.6.1 パッチレベル 1 SQL インジェクションの脆弱性

critical Web App Scanning プラグイン ID 112440

Language:

概要

vBulletin < 5.5.6 パッチレベル 1 / 5.6.0 < 5.6.0 パッチレベル 1 / 5.6.1 < 5.6.1 パッチレベル 1 SQL インジェクションの脆弱性

説明

vBulletin は、オンラインコミュニティの構築に使用される人気のある PHP フォーラムソフトウェアです。 5.5.6 パッチレベル 1 より前の vBulletin バージョン、5.6.0 パッチレベル 1 より前のバージョン 5.6.0、および 5.6.1 パッチレベル 1 より前のバージョン 5.6.1 は、getIndexableContent ajax 関数の「nodeId」パラメーターによる SQL インジェクションの脆弱性の影響を受けます。認証されていないリモートの攻撃者がこの問題を悪用して、フォーラム管理者アカウントを乗っ取り、ターゲットホストでリモートコードの実行を引き起こす可能性があります。

ソリューション

バージョン 5.6.1 については少なくともバージョン 5.6.1 パッチレベル 1 に、バージョン 5.6.0 については 5.6.0 パッチレベル 1 に、以下のバージョンについてはバージョン 5.5.6 パッチレベル 1 にアップグレードしてください。

参考資料

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4440032-vbulletin-5-5-6-5-6-0-5-6-1-security-patch-level-1

https://packetstormsecurity.com/files/157716/vBulletin-5.6.1-SQL-Injection.html

https://www.vbulletin.com/docs/html/main/upgrade_patch_level

プラグインの詳細

深刻度: Critical

ID: 112440

タイプ: remote

ファミリー: Component Vulnerability

公開日: 2020/6/10

更新日: 2021/9/7

スキャン テンプレート: api, basic, full, pci, scan

リスク情報

VPR

リスクファクター: High

スコア: 7.4

CVSS v2

リスクファクター: High

基本値: 7.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2020-12720

CVSS v3

リスクファクター: Critical

基本値: 9.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS スコアのソース: CVE-2020-12720

脆弱性情報

CPE: cpe:2.3:a:vbulletin:vbulletin:*:*:*:*:*:*:*:*

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

参照情報

CVE: CVE-2020-12720