CVE-2025-28009 - SQL-инъекция в Dietiqa App v1.0.20

Обнаружил: Saharuddin Azman
Разработчик: Appventure Sdn Bhd
Продукт: Dietiqa App
Затронутая версия: v1.0.20
CVE ID: CVE-2025-28009
Тип уязвимости: SQL-инъекция

📝 Описание

Уязвимость SQL-инъекции существует в параметре u конечной точки progress-body-weight.php в Dietiqa App v1.0.20. Злоумышленник может манипулировать этим параметром для внедрения произвольных SQL-запросов в базу данных.
Эта ошибка может быть использована удаленно без аутентификации, что представляет серьезный риск для конфиденциальности пользовательских данных и целостности приложения.

🧪 Техническое описание

• Уязвимая конечная точка: progress-body-weight.php
• Уязвимый параметр: u
• Проблема: Несанитизированный ввод позволяет внедрение SQL-запросов
• Уровень риска: Высокий – злоумышленники могут получить доступ или изменить конфиденциальные данные пользователей

Подробное доказательство концепции (PoC) было скрыто по этическим и соображениям безопасности.

✅ Статус разработчика

Разработчик, Appventure Sdn Bhd, подтвердил наличие уязвимости. Ожидается исправление в будущем релизе. На данный момент версия 1.0.20 остается уязвимой.

🔗 Ссылки

• CVE Record
• Vendor Website
• Appventure Sdn Bhd

⚠️ Этика раскрытия

Эта проблема была раскрыта ответственно. Разработчик был уведомлен и получил время для ответа. В данном репозитории опущены детали, пригодные для эксплуатации, и PoC в соответствии с лучшими практиками ответственного раскрытия.

📄 Отказ от ответственности

Этот репозиторий предназначен только для образовательных и исследовательских целей.
Не пытайтесь эксплуатировать уязвимости в системах, которые вам не принадлежат или на тестирование которых у вас нет разрешения.
Автор не несет ответственности за любое неправомерное использование этой информации.