漏洞预警:Joomla! 3.7 Core SQL注入漏洞

2017年5月17日,国外研究人员发现开源CMS软件Joomla!3.7.0 Core 版本里面发现一个SQL注入漏洞攻击,该漏洞风险较高,可能存在数据泄露的风险.

漏洞编号:

CVE-2017-8917

漏洞名称:

Joomla!3.7.0 Core SQL注入漏洞

官方评级:

高危

漏洞描述:

3.7.0新引入的一个组件“com_fields”,这个组件任何人都可以访问,无需登陆验证。由于对请求数据过滤不严导致sql 注入,sql注入对导致数据库中的敏感信息泄漏,例如用户的密码hash以及登陆后的用户的session(如果是获取到登陆后管理员的session,那么整个网站的后台系统可能被控制)。

漏洞利用条件和方式:

直接远程利用

漏洞影响范围:

Joomla! 3.7.0 Core

漏洞检测:

漏洞修复建议(或缓解措施):

目前官方发布最新版本,建议尽快安装补丁:https://downloads.joomla.org/cms/joomla3/3-7-1

Continue at source: 

漏洞预警:Joomla! 3.7 Core SQL注入漏洞