cve-2021-42668

CVE-2021-42668 - Vulnerabilità di SQL Injection nel sistema del portale online degli ingegneri.

Descrizione tecnica:

Esiste una vulnerabilità di SQL Injection nel portale online degli ingegneri. Un attaccante può sfruttare il parametro vulnerabile "id" nella pagina web "my_classmates.php" per manipolare la query SQL eseguita. Di conseguenza, l'attaccante può estrarre dati sensibili dal server web.

Componenti interessati -

Pagina vulnerabile - my_classmates.php

Parametro vulnerabile - "id"

Passaggi per lo sfruttamento:

Navigare verso http://localhost/nia_munoz_monitoring_system/my_classmates.php
Inserire il payload nel parametro id

Prova di concetto (Poc) -

Il seguente payload ti permetterà di estrarre la versione del server MySql in esecuzione sul server web -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL;-- -

CVE-2021-42668

Riferimenti -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42668

https://nvd.nist.gov/vuln/detail/CVE-2021-42668

Scoperto da -

Alon Leviev(0xDeku), 22 ottobre 2021.