CVE-2024-25867

SQL Injection w CodeAstro Membership Management System via add_type.php

CVSS 9.1v3.1pub. 2024-02-28upd. 2025-04-01

Krytyczna podatność typu SQL Injection w systemie CodeAstro Membership Management System w wersji 1.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń SQL. Ze względu na brak wymagań dotyczących uwierzytelnienia podatność jest szczególnie niebezpieczna i łatwa do wykorzystania.

▸ Pokaż oryginał (EN)

A SQL Injection vulnerability in CodeAstro Membership Management System in PHP v.1.0 allows a remote attacker to execute arbitrary SQL commands via the membershipType and membershipAmount parameters in the add_type.php component.

🤖 Analiza AI

Jak działa

Podatność występuje w komponencie add_type.php, gdzie parametry membershipType oraz membershipAmount są przekazywane do zapytań bazodanowych bez odpowiedniej walidacji i sanityzacji danych wejściowych. Atakujący może wstrzyknąć złośliwe polecenia SQL bezpośrednio przez te parametry, manipulując logiką zapytań do bazy danych. Atak jest możliwy zdalnie, bez uwierzytelnienia, przez sieć (AV:N, PR:N), co znacznie obniża próg jego wykonania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych oraz modyfikować jej zawartość, co prowadzi do naruszenia poufności i integralności danych systemowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie mechanizmów walidacji i parametryzacji zapytań SQL (prepared statements) oraz ograniczenie dostępu do komponentu add_type.php na poziomie firewall lub serwera WWW do czasu zastosowania poprawki.