CVE-2024-32369

Descrição: Vulnerabilidade de Injeção SQL no HSC Mailinspector v.5.2.17-3 da HSC Cybersecurity permite que um atacante remoto obtenha informações sensíveis através de um payload manipulado nos parâmetros start e limit no componente mliWhiteList.php.

Versões: Descoberto no HSC Mailinspector 5.2.17-3, mas aplicável a todas as versões até 5.2.18.

Prova de Conceito

A vulnerabilidade de injeção SQL ocorre no parâmetro limit do payload de requisição da aplicação. Especificamente, o payload exec=fetch&start=0&limit=30' é suscetível à injeção SQL.

Payload: exec=fetch&start=0&limit=30'

Parâmetro Vulnerável:

• Parâmetro: limit
• Payload: exec=fetch&start=0&limit=30'