CVE-2024-50971

설명

Itsourcecode Construction Management System 1.0의 print.php에서 발생하는 SQL 삽입 취약점으로, 원격 공격자가 map_id 매개변수를 통해 임의의 SQL 명령을 실행할 수 있습니다.

취약점 유형

SQL Injection

공급업체

Itsourcecode

영향을 받는 제품 코드 베이스:

https://itsourcecode.com/free-projects/php-project/construction-management-system-project-in-php-with-source-code/ - 1.0

영향을 받는 구성 요소:

Itsourcecode Construction Management System v1.0은 print.php 페이지의 map_id 매개변수를 통해 SQL 삽입에 취약합니다.

공격 벡터:

1. 애플리케이션을 로컬에 설정하고 계정을 등록한 후 admin:admin 자격 증명으로 관리자 로그인을 수행합니다.
2. 브라우저에서 다음 URL로 이동합니다: http://localhost/monitoring_system/print.php?map_id=67
3. SQL 페이로드 주입: URL의 map_id 매개변수를 수정하여 시간 기반 SQL 삽입 페이로드를 포함시킵니다. http://localhost/monitoring_system/print.php?map_id=67'+AND+(SELECT+1386+FROM+(SELECT(SLEEP(15)))LhJj)--+byxm