PT-2021-21725 · Unknown · Peel Shopping

Faisalfs10X · Publicado 2021-07-27 · Atualizado 2021-09-21 · CVE-2021-37593

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do PEEL Shopping anteriores à 9.4.0.1

Descrição

A vulnerabilidade permite a injeção remota de SQL, possibilitando que um usuário não autenticado injete consultas SQL maliciosas e afete a execução de comandos SQL predefinidos. Isso pode ser feito por meio do parâmetro “id” no endpoint “achat/produit details.php?id={SQLi}”. Caso o ataque seja bem-sucedido, um invasor pode ler dados confidenciais do banco de dados ou modificar dados do banco de dados.

Recomendações

Para versões do PEEL Shopping anteriores à 9.4.0.1, atualize para a versão 9.4.0.1 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao endpoint “achat/produit details.php” para minimizar o risco de exploração.

Evite usar o parâmetro id no endpoint afetado até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-37593

Produtos afetados

Peel Shopping

Referências · 8

• 🔥 https://github.com/advisto/peel-shopping/issues/3 · Exploit
• 🔥 https://github.com/faisalfs10x/CVE-IDs/blob/main/2021/CVE-2021-37593/Proof_of_Concept.md · Exploit
• 🔥 https://exploit-db.com/exploits/50142 · Exploit
• 🔥 http://netbytesec.com/advisories/UnauthenticatedBlindSQLInjectionVulnerabilityInPEELShopping · Exploit
• https://t.me/cvenotify/20401 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-37593 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-37593 · Aviso do Fabricante
• https://t.me/cvenotify/18905 · Publicação no Telegram