CVE-2021-36624

SQL Injection umożliwiający ominięcie uwierzytelnienia w Phone Shop Sales Management System

CVSS 9.8v3.1pub. 2021-07-30upd. 2024-11-21

Phone Shop Sales Management System w wersji 1.0 zawiera krytyczną podatność SQL injection, która pozwala zdalnemu atakującemu na ominięcie mechanizmu uwierzytelnienia bez posiadania jakichkolwiek danych logowania. Podatność otrzymała ocenę CVSS 9.8, co czyni ją zagrożeniem najwyższej kategorii.

▸ Pokaż oryginał (EN)

Sourcecodester Phone Shop Sales Managements System version 1.0 suffers from a remote SQL injection vulnerability that allows for authentication bypass.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane zapytanie HTTP zawierające złośliwy payload SQL injection do formularza logowania aplikacji. Aplikacja nie filtruje ani nie parametryzuje danych wejściowych przed ich użyciem w zapytaniu SQL do bazy danych. W rezultacie logika zapytania zostaje zmanipulowana w taki sposób, że warunek uwierzytelnienia jest zawsze spełniony, co umożliwia zalogowanie się bez znajomości prawidłowego hasła.

Skutki

Atakujący bez żadnych uprawnień może przejąć pełen dostęp do aplikacji, w tym do panelu administracyjnego, oraz potencjalnie odczytać, zmodyfikować lub usunąć dane przechowywane w bazie danych systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie parametryzowanych zapytań SQL (prepared statements) oraz ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci do czasu zastosowania poprawki.

Kogo dotyczy

Sourcecodester Phone Shop Sales Management System wersja 1.0

Uwagi

Publiczny exploit jest dostępny w bazie Exploit-DB (ID: 50105), co znacząco obniża próg wejścia dla potencjalnych atakujących. Kod dowodu koncepcji (PoC) został również opublikowany w repozytorium GitHub.