CVE-2023-24201

SQL injection w Raffle Draw System v1.0 – parametr id w get_ticket.php

CVSS 9.8v3.1pub. 2023-02-06upd. 2025-03-26

W aplikacji Raffle Draw System v1.0 wykryto podatność typu SQL injection w pliku get_ticket.php, umożliwiającą atakującemu manipulację zapytaniami do bazy danych bez jakiegokolwiek uwierzytelnienia. Ze względu na sieciową dostępność i brak wymaganych uprawnień podatność stanowi krytyczne zagrożenie dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Raffle Draw System v1.0 was discovered to contain a SQL injection vulnerability via the id parameter at get_ticket.php.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji parametru id przekazywanego do pliku get_ticket.php. Atakujący może spreparować złośliwe zapytanie HTTP zawierające odpowiednio zmodyfikowaną wartość parametru id, wstrzykując tym samym własny kod SQL do zapytania wykonywanego przez aplikację. Dzięki temu możliwe jest odczytanie, modyfikacja lub usunięcie danych z bazy, a w określonych konfiguracjach serwera potencjalnie również wykonanie poleceń systemowych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do pełnej zawartości bazy danych (w tym danych użytkowników i konfiguracji), a także modyfikować lub usuwać dane aplikacji, co może prowadzić do całkowitej kompromitacji systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci, wdrożenie reguł WAF blokujących próby SQL injection oraz zapewnienie walidacji i parametryzacji wszystkich danych wejściowych użytkownika po stronie serwera.