mateustesser/cve-2023-31717Proof-of-concept SQL injection-Exploit für FUXA SCADA-Software (<=1.1.12) via HTTP POST JSON id-Parameter, der Extraktion von SQLite-Datenbankinhalten ermöglicht.
Es ist möglich, eine SQL-Injection in den HTTP-POST-ID-Parameter durchzuführen, der als JSON im Body übergeben wird, wodurch vertrauliche Informationen aus der SQLite-Datenbank extrahiert werden können.
Payload -> "id":"n_7c734712-aabf4eb3' AND 2630=LIKE(CHAR(65,66,67,68,69,70,71),UPPER(HEX(RANDOMBLOB(500000000/2)))) AND 'MIZH'='MIZH"
Name des betroffenen Produkts: FUXA
Betroffene Version: <= 1.1.12
Problem: SQL-Injection
Beschreibung: Es ist möglich, eine SQL-Injection in den HTTP-POST-ID-Parameter durchzuführen, der als JSON im Body übergeben wird, wodurch vertrauliche Informationen aus der SQLite-Datenbank extrahiert werden können.
