phtcloud-dev/cve-2024-36837CVE-2024-36837 | CNVD-2024-30128 POC
Schreibe die URL in url.txt und führe CVE-2024-36837.py aus
In meinem ersten Studienjahr stellte ich im Rahmen einer Internet-Schutzaktion fest, dass eine Bildungseinrichtung CRMEB Mall als Online-Shop nutzte. Nach Tests wurde eine SQL-Injection-Schwachstelle gefunden. Nach der Einrichtung einer lokalen Umgebung wurde die Schwachstelle in der CRMEB-Version CRMEB-KY v5.2.2 und höher gefunden.
Sqlmap: python sqlmap.py -u “http://XXX.URL/api/products?limit=20&priceOrder=&salesOrder=&selectId=0”
Verwundbarer Codebereich
Datei: website directory/app/API/controller/PC/ProductController. PHP
In der getProductList-Funktion können nicht validierte oder nicht verarbeitete Argumente leicht zur Ausführung bösartiger SQL-Befehle führen
Empfohlene Korrekturen:
Verwenden Sie eine Web-Firewall
Führen Sie regelmäßige Sicherheitsüberprüfungen und Schwachstellenbewertungen durch, um potenzielle Sicherheitsprobleme zu identifizieren und zu entschärfen.
Anbieter-URL: https://crmeb.com/
Projekt-Repository-URL: https://github.com/crmeb/CRMEB/tree/master
Anbieterinformationen:
Xi 'an Zhongbang network Technology Co., LTD
西安众邦网络科技有限公司
