CVE-2021-42258
BQE BillQuick Web Suite SQL Injection भेद्यता
- प्रकाशित
- 22 अक्टू॰ 2021
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 3 नव॰ 2021
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.5%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
BQE BillQuick Web Suite 2018 से 2021 तक, 22.0.9.1 से पहले के संस्करण, बिना प्रमाणीकरण वाले दूरस्थ कोड निष्पादन के लिए SQL इंजेक्शन की अनुमति देता है, जिसका शोषण अक्टूबर 2021 में रैंसमवेयर स्थापित करने के लिए वास्तविक दुनिया में किया गया था। SQL इंजेक्शन, उदाहरण के लिए, txtID (उर्फ username) पैरामीटर का उपयोग कर सकता है। सफल शोषण में xp_cmdshell के माध्यम से MSSQLSERVER$ के रूप में मनमाना कोड निष्पादित करने की क्षमता शामिल हो सकती है।
स्रोत
modules/auxiliary/gather/billquick_txtid_sqli.rb
Metasploit Framework modulesघोषित शर्तें
- verification: check_declared($.auxiliary_gather/billquick_txtid_sqli.check)
http/cves/2021/CVE-2021-42258.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।