dovankha/cve-2024-35468स्रोतकोडस्टर ह्यूमन रिसोर्स मैनेजमेंट सिस्टम 1.0 में SQL इंजेक्शन भेद्यता के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो क्राफ्टेड पासवर्ड पैरामीटर के माध्यम से बिना प्रमाणीकरण के एडमिन लॉगिन को सक्षम करता है।
SQL इंजेक्शन
SourceCodester Human Resource Management System 1.0 में /hrm/index.php में SQL इंजेक्शन भेद्यता हमलावरों को पासवर्ड पैरामीटर के माध्यम से मनमाने SQL कमांड निष्पादित करने की अनुमति देती है।
/hrm/index.php
हमलावर बिना क्रेडेंशियल के 'or'1'='1 पेलोड का उपयोग करके व्यवस्थापक खाते से लॉगिन कर सकता है।
अनाम रूप से लॉगिन करें
स्रोत कोड में भेद्यता शामिल है
