PT-2021-17864 · Unknown · Teachers Record Management System

Nhattruong.Blog · Publicado 2021-07-01 · Atualizado 2025-05-28 · CVE-2021-28423

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Sistema de Gerenciamento de Registros de Professores, versão 1.0

Descrição:

A vulnerabilidade permite que usuários remotos autenticados executem comandos SQL arbitrários. Isso pode ser feito por meio do parâmetro GET editid nos arquivos “edit-subjects-detail.php” ou “edit-teacher-detail.php”, ou do parâmetro POST searchdata no arquivo “search.php”.

Recomendações:

Para o Sistema de Gerenciamento de Registros de Professores versão 1.0, considere desativar os parâmetros editid e searchdata nos arquivos afetados até que uma correção esteja disponível. Restrinja o acesso a “edit-subjects-detail.php”, “edit-teacher-detail.php” e “search.php” para minimizar o risco de exploração. Evite usar os parâmetros editid e searchdata nos respectivos pontos de extremidade da API até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-28423

Produtos afetados

Teachers Record Management System

Referências · 8

• 🔥 https://packetstormsecurity.com/files/163172/Teachers-Record-Management-System-1.0-SQL-Injection.html · Exploit
• 🔥 https://exploit-db.com/exploits/50018 · Exploit
• 🔥 https://nhattruong.blog/2021/05/22/cve-2021-28423-teachers-record-management-system-1-0-searchdata-error-based-sql-injection-authenticated · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-28423 · Nota de Segurança
• https://t.me/cvenotify/123937 · Publicação no Telegram
• https://t.me/cibsecurity/25864 · Publicação no Telegram
• https://phpgurukul.com/teachers-record-management-system-using-php-and-mysql · Nota
• https://osv.dev/vulnerability/CVE-2021-28423 · Aviso do Fabricante