PT-2021-10573 · Unknown · Sourcecodester Hotel/Lodge Management System

H1Tler · Publicado 2021-10-01 · Atualizado 2021-10-08 · CVE-2020-21012

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Sourcecodester Hotel and Lodge Management System versão 2.0

Descrição:

A vulnerabilidade permite que invasores remotos executem comandos SQL arbitrários por meio do parâmetro email na página de edição de Cliente, Quarto, Moeda, Detalhes da reserva de quarto ou Detalhes fiscais. Isso se deve a uma vulnerabilidade de injeção de SQL sem autenticação.

Recomendações:

Para o Sourcecodester Hotel and Lodge Management System versão 2.0, como solução temporária, considere restringir o acesso às páginas de edição de Cliente, Quarto, Moeda, Detalhes da Reserva de Quarto ou Detalhes Fiscais até que um patch esteja disponível. Evite usar o parâmetro email nessas páginas de edição para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-21012

Produtos afetados

Sourcecodester Hotel/Lodge Management System

Referências · 6

• 🔥 https://github.com/hitIer/web_test/tree/master/hotel · Exploit
• https://t.me/cvenotify/21843 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-21012 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-21012 · Aviso do Fabricante
• https://t.me/cibsecurity/29845 · Publicação no Telegram
• https://t.me/cvenotify/22185 · Publicação no Telegram