分类

查看所有分类

Loading categories

加载CVE情报

CVE-2024-42327: user.get API中的SQL注入 | Kitploit

返回漏洞利用

CVE-2024-42327

严重已发布

user.get API中的SQL注入

已发布: 2024年11月27日
已更新: 2024年12月4日
分配 CNA: Zabbix
观察到的证据: 2025年4月16日

初级CVSS

9.9/ 10严重

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

EPSS概率估计

78.7%

高 · 未来 30 天

百分位: 99.6%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

在 Zabbix 前端中，具有默认 User 角色（或任何其他允许 API 访问的角色）的非管理员用户账户可利用此漏洞。CUser 类中的 addRelatedObjects 函数存在 SQLi 漏洞，该函数由 CUser.get 函数调用，而 CUser.get 对每个拥有 API 访问权限的用户均可用。

来源

Zabbix-CVE-2024-42327-SQL-Injection-RCE漏洞利用
利用 Zabbix SQL 注入漏洞（CVE-2024-42327）提取管理员会话，并通过 API 执行命令，从而实现反弹 Shell。
CVE-2024-42327PoC
CVE-2024-42327 的概念验证漏洞利用程序，该漏洞是 Zabbix 前端 API 中的一个 SQL 注入漏洞，允许非管理员用户通过 user.get 方法执行任意 SQL 查询。
CVE-2024-42327PoC
CVE-2024-42327的概念验证漏洞利用，这是Zabbix前端API中的一个SQL注入漏洞，允许非管理员用户通过user.get方法执行任意SQL查询。
CVE-2024-42327