CVE-2020-37110: Injeção de SQL no 60CycleCMS 2.5.2 em news.php e common/lib.php
A CVE-2020-37110 descreve uma falha de injeção de SQL no 60CycleCMS 2.5.2, presente em news.php e common/lib.php, em que entradas não validadas podem alterar consultas ao banco de dados. O registro da NVD classifica a severidade como crítica, com pontuação base CVSS 3.1 de 9,8, e a VulnCheck informa 8,8 no CVSS 4.0. Nas fontes consultadas não há exploração confirmada, e o catálogo KEV da CISA não lista esta CVE.
Visão geral
A CVE-2020-37110 afeta o 60CycleCMS na versão 2.5.2. Segundo o registro, a falha de injeção de SQL está em news.php e common/lib.php, onde entradas de usuário não validadas podem influenciar consultas ao banco de dados por meio de parâmetros como 'title'. A fraqueza é classificada como CWE-89.
Impacto
- Atacantes poderiam, potencialmente, ler o conteúdo do banco de dados.
- Atacantes poderiam, potencialmente, modificar o conteúdo do banco de dados.
- As métricas CVSS 3.1 presentes no registro classificam os impactos de confidencialidade, integridade e disponibilidade como altos.
Produtos e versões afetados
- Produto listado como Opensourcecms 60cyclecms.
- Versão afetada listada: 2.5.2.
- O registro não lista outras versões afetadas.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. O registro inclui uma referência ao Exploit-DB, mas essa presença não confirma, por si só, exploração no mundo real. Nas fontes consultadas não há exploração confirmada.
Correção e mitigação
- O registro não informa versão corrigida, portanto o status de correção é desconhecido. Verifique a página do fornecedor e os links abaixo para atualizações.
- Se o produto estiver em uso, considere removê-lo ou isolá-lo de redes não confiáveis até que seu status seja esclarecido.
- Mantenedores de código próprio devem usar consultas parametrizadas e validação estrita de todos os parâmetros.
- Restrinja os privilégios das contas de banco de dados ao necessário para a aplicação.
Orientações de detecção
- Revise os logs do servidor web em busca de valores incomuns ou malformados em requisições para news.php.
- Observe erros de banco de dados exibidos a usuários ou comportamento inesperado de consultas.
- Monitore alterações inesperadas em tabelas de conteúdo.
Limitações das informações disponíveis
A entrada da NVD no registro não traz pontuação CVSS 4.0, e o registro não possui pontuação EPSS, dados SSVC nem versão corrigida. O aviso da VulnCheck e a página do fornecedor estão marcados como links quebrados, então seu conteúdo atual não pôde ser verificado. A cobertura de versões além de 2.5.2 é desconhecida.
Perguntas frequentes
A CVE-2020-37110 é conhecida por ser explorada?
O catálogo KEV da CISA não a lista, e nas fontes consultadas não há exploração confirmada. O registro inclui uma referência ao Exploit-DB, que indica interesse público, mas não comprova ataques.
O que os administradores devem fazer agora?
O registro não informa versão corrigida. Identifique se o 60CycleCMS 2.5.2 está implantado, isole-o de redes não confiáveis quando possível e acompanhe atualizações do fornecedor ou da comunidade.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.