CVE-2024-48325

总结

Portabilis i-Educar 2.8.0 在“InstituicaoDocumentacaoController”类的“getDocuments”函数中存在 SQL 注入漏洞。“/module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id”中的“instituicao_id”参数未经过正确清理，允许未经身份验证的远程攻击者注入恶意 SQL 命令。

• cve-2024-48325PoC

  Portabilis i-Educar 2.8.0 SQL注入的概念验证，演示通过getDocuments端点进行未经身份验证的数据库访问，并使用SQLMap自动利用。