CodeAstro-Online-Job-Portal-SQLi-Delete-All

विवरण

• विक्रेता: CodeAstro
• उत्पाद: PHP MySQL में ऑनलाइन जॉब पोर्टल प्रोजेक्ट
• संस्करण: 1.0
• भेद्यता प्रकार: SQL इंजेक्शन
• CWE: CWE-89
• प्रभावित एंडपॉइंट: /admin/jobs-admins/delete-jobs.php
• पैरामीटर: id (GET)
• प्रभाव: डेटाबेस में सभी जॉब रिकॉर्ड को हटाने की अनुमति देता है

विवरण

CodeAstro ऑनलाइन जॉब पोर्टल के एडमिन जॉब डिलीट सुविधा में एक SQL इंजेक्शन भेद्यता की पहचान की गई थी।

एप्लिकेशन उचित सत्यापन या पैरामीटर बाइंडिंग के बिना id पैरामीटर को सीधे SQL क्वेरी में उपयोग करता है। इसके कारण, एक हमलावर दुर्भावनापूर्ण इनपुट इंजेक्ट करके क्वेरी को संशोधित कर सकता है।

इस समस्या का फायदा उठाकर, एक प्रमाणित उपयोगकर्ता इच्छित क्वेरी लॉजिक को बदल सकता है और केवल एक एंट्री के बजाय डेटाबेस से सभी जॉब रिकॉर्ड हटा सकता है।

प्रूफ ऑफ कॉन्सेप्ट

चरण 1: एडमिन के रूप में लॉगिन करें

एडमिन पैनल में लॉगिन करें।