नोट: यह सलाह जानबूझकर एक चलाने योग्य एक्सप्लॉइट पेलोड को शामिल नहीं करती है। प्रूफ-ऑफ-कॉन्सेप्ट विवरण उपचार की अनुमति देने के लिए रखरखावकर्ता के साथ निजी रूप से साझा किए गए हैं।

प्रभावित एंडपॉइंट (उदाहरण)

स्थानीय परीक्षण URL उदाहरण:

भेद्यता विवरण

• प्रकार: SQL इंजेक्शन (टाइम-आधारित ब्लाइंड)
• पैरामीटर: product_id (GET)
• स्थान: admin/admin/edit_product.php
• हमला वेक्टर: दूरस्थ (निर्मित URL); यदि एडमिन एंडपॉइंट सार्वजनिक रूप से सुलभ है या हमलावर के लिए पहुंच योग्य है तो कोई प्रमाणीकरण आवश्यक नहीं है।
• पूर्व शर्तें: एंडपॉइंट को product_id पैरामीटर स्वीकार करना चाहिए और इसे बिना पैरामीटराइज़ेशन के SQL स्टेटमेंट में शामिल करना चाहिए।

साक्ष्य (टाइमिंग परीक्षण सारांश)

डेटाबेस SLEEP() सिमेंटिक्स का उपयोग करने वाले टाइमिंग-आधारित इंजेक्शन प्रयासों ने सफल इंजेक्शन के अनुरूप मापने योग्य सर्वर-साइड विलंब उत्पन्न किए:

• SLEEP(6) → देखा गया प्रतिक्रिया विलंब ≈ 6.01s
• SLEEP(15) → देखा गया प्रतिक्रिया विलंब ≈ 15.00s
• SLEEP(0) → आधारभूत प्रतिक्रिया विलंब ≈ 0.01s

ये परिणाम एक ब्लाइंड SQL इंजेक्शन बिंदु का संकेत देते हैं जो समय-आधारित अनुमान की अनुमति देता है। परीक्षण के दौरान देखा गया डेटाबेस नाम: onlineshop।

प्रभाव

इस भेद्यता का सफल शोषण हमलावरों को अनुमति देता है:

• ब्लाइंड/टाइम-आधारित तकनीकों के माध्यम से डेटाबेस सामग्री की पुष्टि और गणना करना।
• टाइम-आधारित तकनीकों का उपयोग करके स्वचालित उपकरणों (जैसे sqlmap) के साथ डेटा (स्कीमा, तालिका नाम, पंक्तियाँ) निकालना।
• डेटाबेस विशेषाधिकारों और एप्लिकेशन संदर्भ के आधार पर संभावित रूप से आगे समझौता करना।

अनुमानित गंभीरता: उच्च

पुनरुत्पादन (उच्च-स्तरीय)

1. product_id पैरामीटर पर एक निर्मित अनुरोध भेजें जिसमें समय-विलंब SQL निर्माण शामिल हो (परीक्षण SLEEP() विविधताओं के साथ किया गया)।
2. यह अनुमान लगाने के लिए सर्वर प्रतिक्रिया समय का निरीक्षण करें कि इंजेक्टेड अभिव्यक्ति निष्पादित हुई या नहीं।
3. विभिन्न पेलोड के साथ दोहराए गए परीक्षण टाइम-आधारित तकनीकों के माध्यम से स्वचालित निष्कर्षण की अनुमति देते हैं।

पूर्ण चरण-दर-चरण PoC सार्वजनिक सलाह से हटा दिया गया है — जिम्मेदार प्रकटीकरण शर्तों के तहत एन्क्रिप्टेड PoC के लिए रिपोर्टर से संपर्क करें।

अनुशंसित उपचार

1. सभी डेटाबेस एक्सेस के लिए पैरामीटराइज़्ड क्वेरी / तैयार स्टेटमेंट का उपयोग करें। उपयोगकर्ता इनपुट को SQL स्ट्रिंग्स में संयोजित न करें।
   • उदाहरण (PHP + PDO):
     root@kitploit:~

     $stmt = $pdo->prepare('SELECT * FROM products WHERE id = ?');
     $stmt->execute([$product_id]);
     

2. इनपुट को मान्य और साफ़ करें: product_id को पूर्णांक के रूप में मानें और तदनुसार मान्य करें (जैसे filter_input(INPUT_GET, 'product_id', FILTER_VALIDATE_INT)).
3. न्यूनतम विशेषाधिकार: सुनिश्चित करें कि वेब एप्लिकेशन द्वारा उपयोग किया जाने वाला डेटाबेस उपयोगकर्ता न्यूनतम विशेषाधिकार रखता है (DROP, ALTER, GRANT, या प्रशासनिक अधिकारों से बचें)।
4. त्रुटि प्रबंधन: क्लाइंट को डेटाबेस त्रुटियों का रिसाव होने से बचें। सामान्य त्रुटि संदेशों का उपयोग करें और विस्तृत त्रुटियों को सर्वर-साइड लॉग करें।
5. WAF / दर-सीमा: अस्थायी शमन के रूप में, सामान्य SQLi पैटर्न का पता लगाने के लिए WAF नियम लागू करें और बड़े पैमाने पर निष्कर्षण प्रयासों को धीमा करने के लिए दर-सीमाएँ लागू करें।
6. संबंधित एंडपॉइंट्स का ऑडिट करें: समान इंजेक्शन पैटर्न के लिए अन्य एडमिन एंडपॉइंट्स और पैरामीटर की समीक्षा करें।

सुझाया गया sqlmap कमांड

(विक्रेता/रखरखावकर्ता की सुविधा के लिए शामिल — PoC पेलोड सार्वजनिक रूप से प्रकाशित न करें)

संदर्भ

• OWASP SQL इंजेक्शन: https://owasp.org/www-community/attacks/SQL_Injection

संपर्क / क्रेडिट

खोजकर्ता: हाफ़िज़ प्रदाना गेमिलांग

• ईमेल: [email protected]
• GitHub: https://github.com/hafizgemilang/CVE-2025-52021

विक्रेता / रिपॉजिटरी: https://github.com/PuneethReddyHC/online-shopping-system-advanced

अस्वीकरण: यह सार्वजनिक सलाह उपयोगकर्ताओं की सुरक्षा के लिए शोषण योग्य पेलोड को छोड़ देती है। पूर्ण तकनीकी विवरण और PoC सहमत जिम्मेदार प्रकटीकरण नीति के तहत अनुरोध पर विक्रेता के लिए उपलब्ध हैं।