« Volver al listado

CVE-2019-18662

Estado: ModificadaCrítica (9.8)—

Se detectó un problema en YouPHPTube versiones hasta 7.7. La entrada del usuario pasada mediante el parámetro POST live_stream_code en el archivo /plugin/LiveChat/getChat.json.php no es saneado apropiadamente (en la función getFromChat en el archivo plugin/LiveChat/Objects/LiveChatObj.php) antes de ser usados para construir una consulta SQL. Los usuarios maliciosos pueden explotar esto para, por ejemplo, leer datos confidenciales desde la base de datos mediante ataques de inyección SQL en banda. Una explotación con éxito de esta vulnerabilidad requiere que el plugin Live Chat esté habilitado.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

Youphptube — Youphptube

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2019-18662",
  "cveTags": [],
  "metrics": {
    "cvssMetricV2": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "version": "2.0",
          "baseScore": 7.5,
          "accessVector": "NETWORK",
          "vectorString": "AV:N/AC:L/Au:N/C:P/I:P/A:P",
          "authentication": "NONE",
          "integrityImpact": "PARTIAL",
          "accessComplexity": "LOW",
          "availabilityImpact": "PARTIAL",
          "confidentialityImpact": "PARTIAL"
        },
        "acInsufInfo": false,
        "impactScore": 6.4,
        "baseSeverity": "HIGH",
        "obtainAllPrivilege": false,
        "exploitabilityScore": 10,
        "obtainUserPrivilege": false,
        "obtainOtherPrivilege": false,
        "userInteractionRequired": false
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "vendor": "n/a",
          "product": "n/a",
          "versions": [
            {
              "status": "affected",
              "version": "n/a"
            }
          ]
        }
      ]
    }
  ],
  "published": "2019-11-02T15:15:10.680",
  "references": [
    {
      "url": "http://packetstormsecurity.com/files/155564/YouPHPTube-7.7-SQL-Injection.html",
      "source": "cve@mitre.org"
    },
    {
      "url": "http://seclists.org/fulldisclosure/2019/Dec/9",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/YouPHPTube/YouPHPTube/issues/2202",
      "tags": [
        "Patch",
        "Third Party Advisory"
      ],
      "source": "cve@mitre.org"
    },
    {
      "url": "http://packetstormsecurity.com/files/155564/YouPHPTube-7.7-SQL-Injection.html",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "http://seclists.org/fulldisclosure/2019/Dec/9",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://github.com/YouPHPTube/YouPHPTube/issues/2202",
      "tags": [
        "Patch",
        "Third Party Advisory"
      ],
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Modified",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "nvd@nist.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-89"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "An issue was discovered in YouPHPTube through 7.7. User input passed through the live_stream_code POST parameter to /plugin/LiveChat/getChat.json.php is not properly sanitized (in getFromChat in plugin/LiveChat/Objects/LiveChatObj.php) before being used to construct a SQL query. This can be exploited by malicious users to, e.g., read sensitive data from the database through in-band SQL Injection attacks. Successful exploitation of this vulnerability requires the Live Chat plugin to be enabled."
    },
    {
      "lang": "es",
      "value": "Se detectó un problema en YouPHPTube versiones hasta 7.7. La entrada del usuario pasada mediante el parámetro POST live_stream_code en el archivo /plugin/LiveChat/getChat.json.php no es saneado apropiadamente (en la función getFromChat en el archivo plugin/LiveChat/Objects/LiveChatObj.php) antes de ser usados para construir una consulta SQL. Los usuarios maliciosos pueden explotar esto para, por ejemplo, leer datos confidenciales desde la base de datos mediante ataques de inyección SQL en banda. Una explotación con éxito de esta vulnerabilidad requiere que el plugin Live Chat esté habilitado."
    }
  ],
  "lastModified": "2026-06-17T02:25:15.147",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:youphptube:youphptube:*:*:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "60E8CBEF-CE27-4C21-AD5F-527495BAB25B",
              "versionEndIncluding": "7.7"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "cve@mitre.org"
}