Baiyi Cloud Asset Management System'da Kritik Bir SQL Injection Güvenlik Açığı
CVE-2025-1464, Baiyi Cloud Asset Management System'da keşfedilen ve 20250204'e kadar olan sürümleri etkileyen kritik bir güvenlik açığıdır. Bu güvenlik açığı, project_id dosyadaki argümanı manipüle ederek SQL enjeksiyon saldırılarına izin verir /wuser/admin.house.collect.php . Bu istismar herkese açıktır ve kimlik doğrulaması gerektirmeden uzaktan başlatılabilir .
: Kritik
: SQL Enjeksiyonu
:
/wuser/admin.house.collect.php:
project_id: SQL sorgularını manipüle etme yeteneği nedeniyle Gizlilik, Bütünlük ve Kullanılabilirlik (CIA) tehlikeye girer.
:
: 7,5'a kadar (Yüksek Şiddet)
: AV:N/AC:L/Au:N/C:P/I:P/A:P (Ağ Saldırı Vektörü, Düşük Saldırı Karmaşıklığı, Kimlik Doğrulama Gerektirmez)
: 10.0
: 6.4
Güvenlik açığı CWE-89 (SQL Komutunda Kullanılan Özel Öğelerin Uygunsuz Nötralizasyonu) ve CWE-74 (Aşağı Akış Bileşeni Tarafından Kullanılan Çıktıdaki Özel Öğelerin Uygunsuz Nötralizasyonu) altında sınıflandırılmıştır. Bu sınıflandırmalar, kullanıcı girdisinin düzgün bir şekilde temizlenememesinin kötü amaçlı SQL komutlarının yürütülmesine izin verdiğini vurgulamaktadır .
: Kimlik doğrulaması olmadan uzaktan sömürü mümkün olduğundan saldırganlar için oldukça erişilebilirdir.
: Bu istismar kamuya açık ve GitHub gibi platformlarda paylaşıldı .
: Erken bildirime rağmen, satıcı herhangi bir yanıt vermedi veya herhangi bir yama veya hafifletme sağlamadı .
: Yetkisiz Veri Erişimi
:Bir saldırgan, CVE-2025-1464'e karşı savunmasız bir Baiyi Cloud Asset Management System örneği keşfediyor.
: Saldırgan,
project_iddosyadaki parametreyi manipüle ederek kötü amaçlı bir SQL sorgusu oluşturur/wuser/admin.house.collect.php.: Saldırgan, hassas verileri çıkarmak veya veritabanı kayıtlarını değiştirmek için SQL kodu enjekte eder.
: Saldırgan gizli verilere yetkisiz erişim elde ederek veri ihlallerine veya sistem güvenliği ihlallerine yol açabilir.
Satıcıdan resmi yama veya yanıt gelmemesi nedeniyle kullanıcıların aşağıdakileri göz önünde bulundurmaları önerilir:
: Etkilenen sistemi daha güvenli bir alternatifle değiştirmeyi düşünün.
: Potansiyel SQL enjeksiyon girişimlerini belirlemek için güçlü izleme ve tespit sistemleri uygulayın.
Benzer güvenlik açıklarının önlenmesi için tüm kullanıcı girdilerinin iyice doğrulandığından ve temizlendiğinden emin olun.
Çözüm
CVE-2025-1464, Baiyi Cloud Asset Management System'ı kullanan kuruluşlar için kolay istismarı ve ciddi veri ihlalleri potansiyeli nedeniyle önemli bir risk oluşturmaktadır. Bu güvenlik açığına karşı korunmak için alternatif çözümler aramak veya sağlam güvenlik önlemleri uygulamak gibi acil eylem gereklidir.