PT-2024-16270 · Unknown · Project Worlds Student Project Allocation System

Jadu101 · Publicado 2024-10-27 · Atualizado 2024-10-29 · CVE-2024-10425

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Alocação de Projetos para Alunos do Project Worlds, versão 1.0

Descrição

Foi identificada uma falha crítica no componente da Página de Seleção de Projetos, especificamente no arquivo /student/project selection/move up project.php. A manipulação do argumento up leva a uma injeção de SQL. Essa falha pode ser explorada remotamente.

Recomendações

Para o Sistema de Alocação de Projetos para Estudantes do Project Worlds, versão 1.0, considere restringir o acesso ao arquivo /student/project selection/move up project.php até que uma correção esteja disponível. Como solução temporária, evite usar o argumento up no arquivo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-10425

Produtos afetados

Project Worlds Student Project Allocation System

Referências · 10

• 🔥 https://github.com/jadu101/CVE/blob/main/phpgurukul_student_project_allocation_system_move_up_project_sqli.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-10425 · Aviso do Fabricante
• https://t.me/cvenotify/99821 · Publicação no Telegram
• https://vuldb.com/?id.281966 · Nota
• https://t.me/cvenotify/99851 · Publicação no Telegram
• https://t.me/cvenotify/99659 · Publicação no Telegram
• https://vuldb.com/?ctiid.281966 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-10425 · Nota de Segurança
• https://t.me/cvedetector/9064 · Publicação no Telegram
• https://vuldb.com/?submit.431984 · Nota