CVE-2023-41507

CVE-2023-41507 - В Super Store Finder v3.6 обнаружено множество уязвимостей SQL-инъекций в компоненте поиска магазинов через параметры products, distance, lat и lng.

Тип уязвимости

SQL-инъекция

Производитель продукта

Super Store Finder

База кода затронутого продукта

Super Store Finder - Затронутая версия 3.6 и ниже. Исправлено в версии 3.7

Вектор CVSS v3.1 (Базовая оценка)

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0)

Затронутый компонент

Затронутая серверная СУБД

Тип атаки

Удаленная

Раскрытие информации о воздействии

true

Векторы атаки

4 параметра products, distance, lat, lng в HTTP POST запросе уязвимы для SQL-инъекции, взаимодействие с пользователем не требуется.

Скриншот индикатора SQL-инъекции на основе ошибок

Скриншот Proof-of-Concept для извлечения таблицы пользователей с помощью SQLMap

Примечания к патчу

https://superstorefinder.net/support/forums/topic/super-store-finder-patch-notes/