grav-plugin-database는 Grav CMS용 데이터베이스 플러그인입니다. 1.2.0 이전에는 PDO::tableExists 메소드가 정리, 이스케이프, 인용 또는 화이트리스트 작성 없이 해당 테이블 인수를 원시 SQL 쿼리 문자열에 직접 보간하여 플러그인 또는 개발자 코드를 사용하여 전달된 공격자가 제어하는 테이블 이름이 구성된 데이터베이스에 대해 임의의 SQL을 실행할 수 있도록 했습니다. 이 문제는 버전 1.2.0에서 해결되었습니다.
grav-plugin-database는 Grav CMS용 데이터베이스 플러그인입니다. 1.2.0 이전에는 PDO::tableExists 메소드가 정리, 이스케이프, 인용 또는 화이트리스트 작성 없이 해당 테이블 인수를 원시 SQL 쿼리 문자열에 직접 보간하여 플러그인 또는 개발자 코드를 사용하여 전달된 공격자가 제어하는 테이블 이름이 구성된 데이터베이스에 대해 임의의 SQL을 실행할 수 있도록 했습니다. 이 문제는 버전 1.2.0에서 해결되었습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 92.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 92.00 |
VPI 공식 vpi-v1 기준