PT-2022-24431 · Unknown · Wedding Planner

Ptanly · Publicado 2022-09-19 · Atualizado 2025-05-29 · CVE-2022-38509

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Wedding Planner versão 1.0

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL. Essa vulnerabilidade pode ser explorada por meio do parâmetro booking id no endpoint da API “/admin/budget.php”.

Recomendações

Para o Wedding Planner versão 1.0, como solução temporária, considere restringir o acesso ao endpoint “/admin/budget.php” ou evitar o uso do parâmetro booking id até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-38509

Produtos afetados

Wedding Planner

Referências · 6

• 🔥 https://github.com/ptanly/bug_report/blob/main/vendors/pushpam02/wedding-planner/SQLi-1.md · Exploit
• https://t.me/cvenotify/36472 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-38509 · Nota de Segurança
• https://t.me/cvenotify/124000 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-38509 · Aviso do Fabricante
• https://t.me/cibsecurity/50108 · Publicação no Telegram