PT-2022-17754 · Unknown · Xiaohuanxiong

Publicado 2022-03-28 · Atualizado 2022-03-30 · CVE-2022-26268

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Xiaohuanxiong versão 1.0

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL. Ela pode ser explorada por meio do parâmetro id no endpoint da API “/app/controller/Books.php”.

Recomendações

Para o Xiaohuanxiong versão 1.0, como solução temporária, considere restringir o acesso ao endpoint /app/controller/Books.php ou validar e sanitizar o parâmetro id para prevenir ataques de injeção de SQL. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-26268

Produtos afetados

Xiaohuanxiong

Referências · 4

• 🔥❌ https://github.com/hiliqi/xiaohuanxiong/issues/33 · Exploit, Deleted
• https://osv.dev/vulnerability/CVE-2022-26268 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26268 · Nota de Segurança
• https://t.me/cibsecurity/39621 · Publicação no Telegram