CVE-2021-42258

CriticoPubblicato

Vulnerabilità di SQL Injection in BQE BillQuick Web Suite

Pubblicato: 22 ott 2021
Aggiornato: 21 ott 2025
Assegnazione CNA: mitre
Evidenza osservata: 3 nov 2021

CVSS primario

9,8/ 10Critico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Stima della probabilità EPSS

74,4%

Alto · prossimi 30 giorni

Percentile: 99,5%
Data del modello: 18 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

CISA noto sfruttato

Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.

Riepilogo

BQE BillQuick Web Suite dal 2018 al 2021, prima della versione 22.0.9.1, consente l'iniezione SQL per l'esecuzione remota di codice non autenticata, come sfruttata in natura nell'ottobre 2021 per l'installazione di ransomware. L'iniezione SQL può, ad esempio, utilizzare il parametro txtID (noto anche come username). Lo sfruttamento riuscito può includere la capacità di eseguire codice arbitrario come MSSQLSERVER$ tramite xp_cmdshell.

Fonti

Evidenze dei repository: File: 2 · Repository: 2

1 Modulo1 Modello

BillQuick Web Suite txtID SQLiModulo
modules/auxiliary/gather/billquick_txtid_sqli.rb
Metasploit Framework modules
RicercaEvidenza osservata: 25 set 2026Revisione: 1e321cedaf4cStrumento correlato
Condizioni dichiarate
- verification: check_declared($.auxiliary_gather/billquick_txtid_sqli.check)
BillQuick Web Suite SQL InjectionModello
http/cves/2021/CVE-2021-42258.yaml
Nuclei Templates
RilevamentoEvidenza osservata: 26 set 2026Revisione: 008731b339bdStrumento correlato
Condizioni dichiarate
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.