CVE-2022-24263

SQL Injection w Hospital Management System v4.0 — parametr email

CVSS 9.8v3.1pub. 2022-01-31upd. 2024-11-21

W aplikacji Hospital Management System w wersji 4.0 odkryto podatność typu SQL injection w pliku func.php, exploitowaną poprzez parametr email. Podatność jest krytyczna — pozwala nieuwierzytelnionemu atakującemu na pełną kompromitację bazy danych bez jakichkolwiek wymagań wstępnych.

▸ Pokaż oryginał (EN)

Hospital Management System v4.0 was discovered to contain a SQL injection vulnerability in /Hospital-Management-System-master/func.php via the email parameter.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych przez użytkownika w parametrze email do pliku /Hospital-Management-System-master/func.php. Atakujący może wstrzyknąć złośliwy kod SQL bezpośrednio do zapytania wykonywanego po stronie serwera bazodanowego. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji ze strony ofiary.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych (w tym danych pacjentów i personelu medycznego), a także zmodyfikować lub usunąć zawartość bazy danych. W zależności od konfiguracji środowiska możliwe jest również przejęcie kontroli nad serwerem bazodanowym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W ramach środków tymczasowych zaleca się wdrożenie walidacji i parametryzacji zapytań SQL (prepared statements) w pliku func.php oraz ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci.

Kogo dotyczy

Phpgurukul Hospital Management System w wersji 4.0

Uwagi

Szczegółowy opis exploita dostępny jest publicznie w serwisie Packet Storm Security (packetstormsecurity.com) oraz w repozytoriach GitHub wskazanych w referencjach, co istotnie obniża próg wejścia dla potencjalnych atakujących.