CVE-2024-58290-Xhibiter-SQLi

Xhibiter NFT Marketplace 1.10.2 (Collections Endpoint)의 SQL 인젝션에 대한 개념 증명(PoC). 발견자: Sohel Yousef.

CVE-2024-58290: Xhibiter NFT Marketplace SQL 인젝션

익스플로잇 제목: Xhibiter NFT Marketplace 1.10.2 - SQL 인젝션 (인증되지 않음)
날짜: 2024-12-11
익스플로잇 작성자: Sohel Yousef
공급업체 홈페이지: https://themeforest.net/user/deothemes 소프트웨어 링크: https://themeforest.net/item/xhibiter-nft-marketplace-html-template/36542347 버전: 1.10.2
테스트 환경: Linux / Windows
CVE: CVE-2024-58290

설명

중대한 SQL 인젝션 취약점이 Xhibiter NFT Marketplace 버전 1.10.2에 존재합니다. 취약점은 collections 엔드포인트의 id 매개변수에 있습니다. 이를 통해 원격의 인증되지 않은 공격자가 임의의 SQL 명령을 실행할 수 있으며, 이는 데이터 유출 또는 데이터베이스 조작으로 이어질 수 있습니다.

기술적 세부사항

• 취약한 매개변수: id
• 엔드포인트: /collections
• 인젝션 유형: Boolean 기반 / 시간 기반 Blind
• 공격 벡터: 원격 (네트워크)

개념 증명 (PoC)

이 취약점을 자동 탐지하기 위한 Python 스크립트를 개발했습니다. 스크립트는 데이터베이스 응답 시간 지연(시간 기반 SQLi 확인)을 확인하기 위해 무해한 페이로드를 전송합니다.

사용법

python3 poc.py --url [http://target-site.com](http://target-site.com)