Visitor Management System 1.0

Einreicher: Kha Do

Schwachstelle

SQL-Injection

Beschreibung

Die SQL-Injection-Schwachstelle in /php-sqlite-vms/?page=manage_visitor&id=1 im SourceCodester Visitor Management System 1.0 ermöglicht es Angreifern, beliebige SQL-Befehle über die id-Parameter auszuführen.

Betroffene Komponente

Pfad-URL: /php-sqlite-vms/?page=manage_visitor&id=1

Parameter: &id=[hier injizieren]

Auswirkung

Diese Schwachstelle ermöglicht es Angreifern, beliebige SQL-Befehle über die id-Parameter auszuführen.

POC

Bei der Suche nach Land mit der falschen Bedingung 1' and '1'='2 werden keine Ergebnisse zurückgegeben:

Und bei der Suche nach Land mit der falschen Bedingung 1' and '1'='1 werden alle Ergebnisse zurückgegeben: