CVE-2021-42666

CVE-2021-42666 - SQL-Injection-Schwachstelle im Engineers Online Portal System.

Technische Beschreibung:

Im Engineers Online Portal System existiert eine SQL-Injection-Schwachstelle. Ein Angreifer kann den anfälligen Parameter "id" auf der Webseite "quiz_question.php" ausnutzen, um die SQL-Abfrage zu manipulieren.
Dadurch kann er vertrauliche Daten vom Webserver extrahieren.

Betroffene Komponenten -

Anfällige Seite - quiz_question.php

Anfälliger Parameter - "id"

Schritte zur Ausnutzung:

1. Navigieren Sie zu http://localhost/nia_munoz_monitoring_system/quiz_question.php
2. Fügen Sie Ihre Payload in den Parameter "id" ein

Proof of Concept (PoC) -

Die folgende Payload ermöglicht es Ihnen, die auf dem Webserver laufende MySQL-Serverversion zu extrahieren -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL;-- -

Referenzen -