PT-2020-7643 · Unknown · Web2Project

Publicado 2020-01-31 · Atualizado 2020-02-05 · CVE-2014-3119

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

web2Project versões 3.1 e anteriores

Descrição

A vulnerabilidade permite que usuários remotos autenticados executem comandos SQL arbitrários. Isso pode ser feito por meio do parâmetro search string no módulo de contatos para “index.php” ou por invasores remotos por meio do parâmetro updatekey para “do updatecontact.php” ou “updatecontact.php”.

Recomendações

Para as versões 3.1 e anteriores do web2Project, atualize para uma versão posterior à 3.1 para resolver o problema.

Como solução temporária, considere restringir o acesso ao parâmetro search string no módulo de contatos e ao parâmetro updatekey em “do updatecontact.php” e “updatecontact.php” para minimizar o risco de exploração.

Exploit

Correção

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2014-3119

Produtos afetados

Web2Project

Referências · 5

• 🔥 https://exploit-db.com/exploits/33818 · Exploit
• 🔥 https://htbridge.com/advisory/HTB23213 · Exploit
• https://github.com/web2project/web2project/commit/eead99b36f62a8222d9f3a913f1a2268200687ef · Correção
• https://github.com/web2project/web2project/commit/ab5ba92a6aaf0435cd0b2132cf7f9b7b41575a28 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2014-3119 · Nota de Segurança