国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2017-0041

近日，國家信息安全漏洞共享平臺（CNVD）收錄了Joomla! com_fields組件存在的SQL注入漏洞（CNVD-2017-06861、對應CVE-2017-8917）。遠程攻擊者無需任何身份認證，可獲取數據庫敏感信息，包括管理員登錄信息并控制網站后臺。

一、漏洞情況分析

Joomla!是一套基于PHP的開源內容管理系統(CMS)。可用于搭建商業網站、個人博客、信息管理系統、Web服務等，還可進行二次開發以擴充使用范圍。

“com_fields”是Joomla! 3.7.0版本中引入的一個新的組件，在該組件的.MarchModelFields模型下的?./administrator/components/com_fields/models/fields.php文件中,有一個getListQuery方法對用戶輸入傳入到list.fullordering未進行有效過濾，攻擊者利用該漏洞不需要任何身份認證，通過給URL添加適當的參數（/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=），注入嵌套的SQL查詢即可獲取數據庫敏感信息。

CNVD對該漏洞的綜合評級均為“高危”。

二、漏洞影響范圍

漏洞影響Joomla! 3.7.0版本，由于存在漏洞的是Joomla!核心組件，采用該版本的網站服務器均受漏洞影響。根據CNVD秘書處對Joomla!應用情況的普查（暫不區分具體版本），互聯網上約有43萬臺網站服務器部署應用Joomla!。按國家和地區分布，美國、德國、中國位居前三，分別占比56.5%、4.9%、4.3%；按容器軟件類型區分，Apache約占60.7%，Nginx約占25.6%，IIS約占2.7%，其他未知容器軟件約占11%。目前3.7版本比例占比較少，但隨著用戶后續升級，有可能進一步增加數量。

三、漏洞修復建議

廠商已發布了漏洞修復方案，用戶可將程序升級至3.7.1版本：

https://downloads.joomla.org/cms/joomla3/3-7-1

附：參考鏈接：

https://blog.sucuri.net/2017/05/sql-injection-vulnerability-joomla-3-7.html

http://www.cnvd.org.cn/flaw/show/CNVD-2017-06861

注：CNVD技術組成員單位知道創宇公司及時報告了部分分析情況。