CVE-2014-7228: Akeeba Restore (restore.php), as used in Joomla! 2.5.4 through 2.5.25, 3.x through 3.2.5, and 3.3.0 through 3.3.4; Akeeba Backup for Joomla!
Noroxi değerlendirmesi
Öncelik: Planlayın (aksiyon skoru 47/100)
- Hazır saldırı modülü yayımlanmış (Metasploit); sömürmek özel uzmanlık gerektirmiyor.
- Herkese açık kavram kanıtı (PoC) kodu var (Exploit-DB); sahada sömürüldüğüne dair kayıt yok.
- Önümüzdeki 30 günde sömürülme olasılığı %56 (FIRST EPSS); kayıtların %99 kadarından yüksek.
- Özel bir koşul gerekmez; tekrarlanabilir.
- Kayda göre henüz düzeltme sürümü yok.
Olağan yama döngüsüne alın. Düzeltme yayımlandığında güncelleyin; üreticinin duyurusunu izleyin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · FIRST EPSS
Akeeba Restore (restore.php), as used in Joomla! 2.5.4 through 2.5.25, 3.x through 3.2.5, and 3.3.0 through 3.3.4; Akeeba Backup for Joomla! Professional 3.0.0 through 4.0.2; Backup Professional for WordPress 1.0.b1 through 1.1.3; Solo 1.0.b1 through 1.1.2; Admin Tools Core and Professional 2.0.0 through 2.4.4; and CMS Update 1.0.a1 through 1.0.1, when performing a backup or update for an archive, does not delete parameters from $_GET and $_POST when it is cleansing $_REQUEST, but later accesses $_GET and $_POST using the getQueryParam function, which allows remote attackers to bypass encryption and execute arbitrary code via a command message that extracts a crafted archive.
- Yayın
- 3 Kas 2014
- Güncelleme
- 16 Haz 2026
- EPSS
- %56,0 · 99. yüzdelik
- CWE
- CWE-310
Rapor araçları
Aksiyon skoru
47
Olağan yama döngüsüne alın.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 17 / 30 · %56,0
Bu kayıt değişirse haber alın
- KEV'de değil: sahada sömürü kaydı yok
- Silahlaştırılmış istismar var
- Düzeltme sürümü henüz yok
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
Sürümünüz etkileniyor mu? Kontrol edinNoroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| joomla | joomla\! | cpe:2.3:a:joomla:joomla\! |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- joomla joomla!2.5.10
- joomla joomla!2.5.11
- joomla joomla!2.5.12
- joomla joomla!2.5.13
- joomla joomla!2.5.14
- joomla joomla!2.5.15
- joomla joomla!2.5.16
- joomla joomla!2.5.17
+12 satır daha
- joomla joomla!2.5.18
- joomla joomla!2.5.19
- joomla joomla!2.5.20
- joomla joomla!2.5.21
- joomla joomla!2.5.22
- joomla joomla!2.5.23
- joomla joomla!2.5.24
- joomla joomla!2.5.25
- joomla joomla!2.5.4
- joomla joomla!2.5.5
- joomla joomla!2.5.6
- joomla joomla!2.5.7
Aynı üründe
joomla: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2023-23752[20230201] - Core - Improper access check in webservice endpointsKEV81Hemen
- CVE-2017-8917SQL injection vulnerability in Joomla! 3.7.x before 3.7.1 allows attackers to execute arbitrary SQL commands via unspecified vectors.69Bu hafta
- CVE-2016-8869The register method in the UsersModelRegistration class in controllers/user.php in the Users component in Joomla! before 3.6.4 allows…68Bu hafta
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2014-79848 Eki 2014 · Joomla! CMS 2.5.x before 2.5.19 and 3.x before 3.2.3 allows remote attackers to authenticate and bypass intended restrictions via vectors…30İzleyin
- ← ÖncekiCVE-2012-241320 Eki 2014 · Cross-site scripting (XSS) vulnerability in the ja_purity template for Joomla! 1.5.26 and earlier allows remote attackers to inject…17İzleyin
- Sonraki →CVE-2015-465418 Haz 2015 · SQL injection vulnerability in the EQ Event Calendar component for Joomla! allows remote attackers to execute arbitrary SQL commands via…30İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.
İstismar durumu
Silahlaştırılmış
Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.
Kanıt
- Metasploit modülü ×1
- Exploit-DB kaydı ×1
Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.
| Kaynak | Tür | Tarih |
|---|---|---|
| Exploit-DB kaydı | remote | 2014-10-21 |
| Metasploit modülü | exploit/unix/webapp/joomla_akeeba_unserializeJoomla Akeeba Kickstart Unserialize Remote Code Executionexploit | 2014-09-29 |
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- Metasploit-36 gün
- İlk kavram kanıtı-14 gün
- Yayın
- Bugün13 Kas 2026+4393 gün
Bu kayıtta yok: EPSS geçmişi · yama commit'i ya da PR bağlantısı · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.
Teknik detay
Saldırı koşulları
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- P · veriler okunabilir
- Bütünlük
- P · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- P · hizmet durdurulabilir
- Karmaşıklık
- Düşük
- Gizlilik etkisi
- P
- Bütünlük etkisi
- P
- Erişilebilirlik etkisi
- P
Zayıflık sınıfı (CWE)
CWE-310 · Cryptographic IssuesCVSS vektörü
AV:N/AC:L/Au:N/C:P/I:P/A:P
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.
Değişiklik günlüğü (0)
Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.
Referanslar
Tüm referansları göster (1 daha)Daha az göster
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.