CVE-2021-42666

CVE-2021-42666 - Vulnerabilidad de inyección SQL en el sistema de portal en línea de Engineers.

Descripción técnica:

Existe una vulnerabilidad de inyección SQL en el sistema Engineers Online Portal. Un atacante puede aprovechar el parámetro vulnerable "id" en la página web "quiz_question.php" para manipular la consulta SQL realizada. Como resultado, puede extraer datos sensibles del servidor web.

Componentes afectados -

Página vulnerable - quiz_question.php

Parámetro vulnerable - "id"

Pasos para explotar:

1. Navegue a http://localhost/nia_munoz_monitoring_system/quiz_question.php
2. Inserte su payload en el parámetro id

Prueba de concepto (PoC) -

El siguiente payload le permitirá extraer la versión del servidor MySql que se ejecuta en el servidor web -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL;-- -

Referencias -