CVE-2024-48245

Vulnerabilidade de SQL Injection no Vehicle Management System 1.0 - 1.3

Descrição

O Vehicle Management System 1.0 é vulnerável a SQL Injection. Usuários convidados com baixa autenticação ou contas administrativas podem explorar parâmetros POST vulneráveis em vários endpoints para executar comandos SQL arbitrários. Isso pode levar a acesso não autorizado ao banco de dados, recuperação de dados ou escalada de privilégios.

Parâmetros Afetados:

ID da Reserva

Nome da Ação

ID de Confirmação de Pagamento

Endpoints Afetados:

/vehicle-management/newvehicle.php

/vehicle-management/newdriver.php

Detalhes da Vulnerabilidade

Tipo: SQL Injection

Fornecedor: Vehicle Management System

Versão Afetada: 1.0

Vetores de Ataque

Usuário Convidado: Explorações podem ser realizadas através do parâmetro Nome da Ação de Reserva durante a reserva de veículo.

Usuário Admin: Componentes afetados adicionais acessíveis através da interface de administração.

Impacto:

Explorar esta vulnerabilidade permite que atacantes:

Contornar a autenticação ou acessar informações confidenciais.

Manipular ou excluir registros do banco de dados.

Escalar privilégios e executar ações administrativas não autorizadas.

Mitigação:

Validar e higienizar toda entrada do usuário, especialmente parâmetros POST.

Usar consultas parametrizadas ou instruções preparadas para prevenir SQL Injection.

Restringir o acesso a endpoints sensíveis e aplicar fortes medidas de autenticação medid