altelus1/cve-2022-24707PoC de CVE-2022-24707
Vulnérabilité d'injection SQL sur le plugin Puncher. Une requête POST peut être conçue pour exploiter l'injection SQL et divulguer le contenu de la base de données. Ceci est testé sur Anuko Time Tracker 1.20.0.5640.
python3 exploit.py --help
usage: exploit.py [-h] --username USERNAME --password PASSWORD --host HOST [--sqli SQLI]
optional arguments:
-h, --help show this help message and exit
--username USERNAME Anuko Timetracker username
--password PASSWORD Anuko Timetracker password
--host HOST e.g. http://target.website.local, http://10.10.10.10, http://192.168.23.101:8000
--sqli SQLI SQL query to run. Defaults to getting all tables
