CVE-2022-24707

概要

Anuko Time Tracker は、PHP で書かれたオープンソースのWebベースのタイムトラッキングアプリケーションです。1.20.0.5642 より前のバージョンの anuko timetracker において、Time Tracker Puncher プラグインに UNION SQL インジェクションおよび時間ベースのブラインドインジェクションの脆弱性が存在していました。これは、Puncher プラグインが他の場所のコードを再利用しており、POST リクエスト内のサニタイズされていない date パラメータに依存していたために発生しました。このパラメータがチェックされていなかったため、Time Tracker データベースに対する悪意のある SQL を含む POST リクエストを細工することが可能でした。この問題はバージョン 1.20.0.5642 で解決されています。アップグレードできないユーザーは、入力に対して独自のチェックを追加することをお勧めします。

• CVE-2022-24707PoC

  CVE-2022-24707 の PoC

• CVE-2022-24707_AnukoTimeTracker_Version-1.20.0_POCエクスプロイト

  Anuko Time Tracker 1.20.0を標的としたCVE-2022-24707用の自動化SQLインジェクションエクスプロイト。パンチャー機能の時間ベースのインジェクションを介してtt_usersデータベースからユーザーの資格情報を抽出し、自動クリーンアップを行います。

• Anuko Time Tracker - SQLi (Authenticated)