نظام إدارة الموارد البشرية 1.0

المُقدّم: Kha Do

الثغرة الأمنية

SQL injection (حقن SQL)

الوصف

ثغرة حقن SQL في الملف /hrm/country.php في نظام إدارة الموارد البشرية (Human Resource Management System) من SourceCodester الإصدار 1.0 تسمح للمهاجمين بتنفيذ أوامر SQL عشوائية عبر المعاملات searccountry.

المكون المتأثر

مسار URL: /hrm/country.php

المعامل: &searccountry=[حقن هنا]

التأثير

تسمح هذه الثغرة للمهاجمين بتنفيذ أوامر SQL عشوائية عبر المعاملات searccountry.

إثبات المفهوم (POC)

عند البحث عن دولة بالشرط الخطأ ' and '1'='2'#، لا يتم إرجاع أي نتائج:

وعند البحث عن دولة بالشرط الصحيح ' and '1'='1'#، يتم إرجاع جميع النتائج: