CVE-2021-42667

CVE-2021-42667 - Vulnerabilidade de injeção SQL no Sistema de reserva e agendamento de eventos online versão 2.3.0.

Descrição técnica:

Existe uma vulnerabilidade de injeção SQL no software de gerenciamento de eventos versão 2.3.0. Um atacante pode explorar o parâmetro "id" vulnerável na página web "USER" para manipular a consulta SQL executada. Como resultado, o atacante pode extrair dados sensíveis do servidor web.

Página vulnerável - USER

Parâmetro vulnerável - "id"

Passos para explorar:

1. Navegue para http://localhost/event-management/views/?v=USER&ID=1
2. Insira seu payload no parâmetro id

Prova de conceito (Poc) -

O payload a seguir permitirá que você extraia a versão do servidor MySql em execução no servidor web -

UNION ALL SELECT NULL,NULL,NULL,@@version,NULL,NULL,NULL,NULL,NULL;-- -

Referências -