CVE-2024-35409

SQL Injection w WeBid 1.1.2 via admin/tax.php

CVSS 9.8v3.1pub. 2024-05-22upd. 2025-05-28

WeBid w wersji 1.1.2 zawiera krytyczną podatność typu SQL Injection w pliku admin/tax.php. Umożliwia ona nieuwierzytelnionemu atakującemu zdalne manipulowanie bazą danych systemu aukcyjnego.

▸ Pokaż oryginał (EN)

WeBid 1.1.2 is vulnerable to SQL Injection via admin/tax.php.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych do zapytań SQL w pliku admin/tax.php. Atakujący może wstrzyknąć złośliwy kod SQL bezpośrednio przez sieć, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Pozwala to na manipulowanie logiką zapytań do bazy danych aplikacji.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, modyfikować lub usuwać dane, a w sprzyjających okolicznościach przejąć pełną kontrolę nad aplikacją i serwerem bazodanowym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego (katalog admin/) wyłącznie do zaufanych adresów IP na poziomie firewalla lub konfiguracji serwera WWW.

Kogo dotyczy

WeBid w wersji 1.1.2

Uwagi

Szczegółowy opis podatności wraz z dowodem koncepcji (proof of concept) dostępny jest publicznie w repozytorium GitHub pod adresem wskazanym w referencjach.