CVE-2024-34955

SQL Injection w Code-Projects Budget Management via parametr delete

CVSS 9.8v3.1pub. 2024-05-15upd. 2025-04-04

Aplikacja Code-Projects Budget Management 1.0 zawiera podatność typu SQL Injection w parametrze delete, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań SQL. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją ekstremalnie niebezpieczną.

▸ Pokaż oryginał (EN)

Code-projects Budget Management 1.0 is vulnerable to SQL Injection via the delete parameter.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie HTTP zawierające złośliwy payload SQL w parametrze delete, który jest przekazywany bezpośrednio do zapytania bazodanowego bez odpowiedniej walidacji lub parametryzacji. Brak sanityzacji danych wejściowych pozwala na wstrzyknięcie dowolnych instrukcji SQL, które zostaną wykonane przez silnik bazy danych. Atak nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych uprawnień, a wektor sieciowy sprawia, że można go przeprowadzić zdalnie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, modyfikować lub usuwać dane, a w sprzyjających konfiguracjach potencjalnie przejąć kontrolę nad serwerem bazodanowym. Podatność zagraża poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środki łagodzące zaleca się wdrożenie parametryzowanych zapytań SQL (prepared statements), walidacji i sanityzacji danych wejściowych po stronie serwera oraz ograniczenie dostępu do aplikacji na poziomie firewall do zaufanych źródeł.

Kogo dotyczy

Code-Projects Budget Management w wersji 1.0

Uwagi

Szczegóły techniczne podatności oraz proof-of-concept zostały opublikowane przez badacza ethicalhackerNL w repozytorium GitHub. Podatność opublikowano 2024-05-15.