CVE-2023-30092

Все подробности о CVE-2023-30092

Программное обеспечение: Online Pizza Ordering System 1.0

Ссылка на программное обеспечение: https://www.sourcecodester.com/php/16166/online-pizza-ordering-system-php-free-source-code.html

Тип уязвимости: SQL Injection

Затронутый компонент: параметр QTY

Воздействие (отказ в обслуживании): True

Воздействие (выполнение кода) : True

Тип атаки: удалённая

Производитель продукта: Sourcecodester

Описание:

SQL-инъекция (SQLi) — это уязвимость веб-безопасности, которая позволяет злоумышленнику вмешиваться в запросы, которые приложение отправляет к своей базе данных. Как правило, она позволяет злоумышленнику просматривать данные, которые он обычно не может получить. Уязвимость существует в Sourcecodester Online Pizza Ordering System 1.0 в параметре QTY, который обнаруживается при обновлении корзины в конечной точке AJAX.php.

Затронутый URL, где можно найти уязвимый параметр: http://HOST/php-opos/admin/ajax.php?action=update_cart_qty

Воздействие: атака с помощью SQL-инъекции может привести к несанкционированному доступу к конфиденциальным данным, таким как пароли, данные кредитных карт или личная информация пользователей.

Описание уязвимости:

Параметр QTY уязвим к SQL-инъекции, что позволяет злоумышленнику изменять поведение приложения и получать доступ к данным, к которым у него не должно быть доступа. Отправляя специально созданную полезную нагрузку, содержащую SQL-операторы, мы смогли вызвать сообщение об SQL-ошибке. Это указывает на то, что приложение уязвимо к атакам с помощью SQL-инъекций.