PT-2022-18694 · Unknown · Mysql Server+1

H3Thr33 · Publicado 2022-04-19 · Atualizado 2022-09-09 · CVE-2022-27927

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gestão de Microfinanças versão 1.0

Descrição

Existe uma vulnerabilidade de injeção de SQL quando o MySQL é utilizado como banco de dados da aplicação. Um invasor pode enviar comandos SQL ao banco de dados MySQL por meio dos parâmetros vulneráveis course code e/ou customer number.

Recomendações

Para o Sistema de Gestão de Microfinanças versão 1.0, considere restringir o acesso aos parâmetros course code e customer number para minimizar o risco de exploração. Como solução temporária, evite usar esses parâmetros em consultas SQL até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-27927

Produtos afetados

Microfinance Management System

Mysql Server

Referências · 8

• 🔥 https://github.com/erengozaydin/Microfinance-Management-System-V1.0-SQL-Injection-Vulnerability-Unauthenticated · Exploit
• 🔥 http://packetstormsecurity.com/files/167017/Microfinance-Management-System-1.0-SQL-Injection.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-27927 · Nota de Segurança
• https://t.me/cvenotify/29146 · Publicação no Telegram
• https://sourcecodester.com/php/14822/microfinance-management-system.html · Nota
• https://osv.dev/vulnerability/CVE-2022-27927 · Aviso do Fabricante
• https://t.me/cibsecurity/41089 · Publicação no Telegram
• https://t.me/cvenotify/29414 · Publicação no Telegram