CVE-2024-55509

SQL Injection w Codeastro Complaint Management System umożliwiający RCE i eskalację uprawnień

CVSS 9.8v3.1pub. 2024-12-20upd. 2025-04-03

Podatność typu SQL injection w Codeastro Complaint Management System v.1.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu oraz eskalację uprawnień bez żadnego uwierzytelnienia. Krytyczny poziom zagrożenia wynika z możliwości pełnego przejęcia kontroli nad systemem przez sieć.

▸ Pokaż oryginał (EN)

SQL injection vulnerability in CodeAstro Complaint Management System v.1.0 allows a remote attacker to execute arbitrary code and escalate privileges via the id parameter of the delete.php component.

🤖 Analiza AI

Jak działa

Luka występuje w parametrze 'id' komponentu delete.php, który nie jest właściwie sanityzowany przed użyciem w zapytaniu SQL. Atakujący może wstrzyknąć złośliwy kod SQL do tego parametru, co prowadzi do wykonania niezamierzonych operacji na bazie danych. Poprzez odpowiednio spreparowane zapytanie możliwe jest wykonanie dowolnego kodu (RCE) oraz podniesienie uprawnień w systemie (privilege escalation).

Skutki

Atakujący może uzyskać pełny dostęp do bazy danych, wykonać dowolny kod na serwerze oraz eskalować swoje uprawnienia — potencjalnie przejmując pełną kontrolę nad systemem (wysoka poufność, integralność i dostępność).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do komponentu delete.php np. poprzez firewall aplikacyjny (WAF) lub kontrolę dostępu na poziomie serwera WWW.