CVE-2021-42666

CVE-2021-42666 - ثغرة حقن SQL في نظام بوابة المهندسين عبر الإنترنت.

الوصف الفني:

توجد ثغرة حقن SQL في نظام بوابة المهندسين عبر الإنترنت. يمكن للمهاجم استغلال المعامل "id" القابل للاختراق في صفحة الويب "quiz_question.php" للتلاعب باستعلام SQL المنفذ. ونتيجة لذلك، يمكنه استخراج بيانات حساسة من خادم الويب.

المكونات المتأثرة -

الصفحة القابلة للاختراق - quiz_question.php

المعامل القابل للاختراق - "id"

خطوات الاستغلال:

1. انتقل إلى http://localhost/nia_munoz_monitoring_system/quiz_question.php
2. أدخل حمولتك في المعامل id

إثبات المفهوم (PoC) -

ستتيح لك الحمولة التالية استخراج إصدار خادم MySQL قيد التشغيل على خادم الويب -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL;-- -

المراجع -

https://www.exploit-db.com/exploits/50453

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42666

https://nvd.nist.gov/vuln/detail/CVE-2021-42666

اكتشفه -

ألون ليفييف (0xDeku)، 22 أكتوبر، 2021.