CVE-2022-24707

ВысокийОпубликовано

SQL-инъекция в anuko timetracker

Опубликовано: 23 февр. 2022 г.
Обновлено: 22 апр. 2025 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 11 мая 2022 г.

Первичный CVSS

8,8/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

7,2 %

Низкий · следующие 30 дней

Процентиль: 94,1 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Anuko Time Tracker — это открытое веб-приложение для учёта рабочего времени, написанное на PHP. В версиях anuko timetracker до 1.20.0.5642 в плагине Time Tracker Puncher существовали уязвимости UNION SQL-инъекции и слепой инъекции на основе времени (time-based blind injection). Это происходило потому, что плагин Puncher переиспользовал код из других мест и полагался на непроверенный параметр date в POST-запросах. Поскольку параметр не проверялся, можно было формировать POST-запросы с вредоносным SQL для базы данных Time Tracker. Эта проблема была устранена в версии 1.20.0.5642. Пользователям, которые не могут обновиться, рекомендуется добавить собственные проверки входных данных.

Источники

CVE-2022-24707PoC
PoC для CVE-2022-24707
CVE-2022-24707_AnukoTimeTracker_Version-1.20.0_POCЭксплойт
Автоматический эксплойт SQL-инъекции для CVE-2022-24707, нацеленный на Anuko Time Tracker 1.20.0. Извлекает учётные данные пользователей из базы данных tt_users через time-based инъекцию в функции puncher, с автоматической очисткой.
Anuko Time Tracker - SQLi (Authenticated)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.