cve-2021-42668

CVE-2021-42668 - Vulnérabilité d'injection SQL dans le système de portail en ligne des ingénieurs.

Description technique :

Une vulnérabilité d'injection SQL existe dans le portail en ligne des ingénieurs. Un attaquant peut exploiter le paramètre vulnérable "id" dans la page web "my_classmates.php" afin de manipuler la requête SQL exécutée. En conséquence, l'attaquant peut extraire des données sensibles du serveur web.

Composants affectés -

Page vulnérable - my_classmates.php

Paramètre vulnérable - "id"

Étapes pour exploiter :

Naviguez vers http://localhost/nia_munoz_monitoring_system/my_classmates.php
Insérez votre payload dans le paramètre id

Preuve de concept (POC) -

Le payload suivant vous permettra d'extraire la version du serveur MySql exécutée sur le serveur web -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL;-- -

CVE-2021-42668

Références -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42668

https://nvd.nist.gov/vuln/detail/CVE-2021-42668

Découvert par -

Alon Leviev(0xDeku), 22 octobre 2021.