PT-2024-17620 · Unknown · Code-Projects Online Class/Exam Scheduling System

T123 · Publicado 2024-12-11 · Atualizado 2024-12-13 · CVE-2024-12487

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

code-projects Online Class and Exam Scheduling System versão 1.0

Descrição

Foi detectada uma falha crítica no sistema, afetando uma funcionalidade desconhecida do arquivo /pages/room update.php. A manipulação do argumento id leva a uma injeção de SQL. Essa falha pode ser explorada remotamente.

Recomendações

Para o code-projects Online Class and Exam Scheduling System versão 1.0, considere desativar o acesso ao arquivo /pages/room update.php até que uma correção esteja disponível. Restrinja a manipulação do argumento id para evitar ataques de injeção de SQL. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-12487

Produtos afetados

Code-Projects Online Class/Exam Scheduling System

Referências · 11

• 🔥 https://github.com/bjtyyy/CVE/blob/main/Online%20Class%20and%20Exam%20Scheduling%20System_room_update_php.docx · Exploit
• https://osv.dev/vulnerability/CVE-2024-12487 · Aviso do Fabricante
• https://t.me/cvedetector/12650 · Publicação no Telegram
• https://vuldb.com/?submit.459083 · Nota
• https://twitter.com/VulmonFeeds/status/1867029997547823193 · Publicação no Twitter
• https://twitter.com/dailycve/status/1867284247847088391 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-12487 · Nota de Segurança
• https://twitter.com/CVEnew/status/1867537663391052064 · Publicação no Twitter
• https://vuldb.com/?id.287869 · Nota
• https://vuldb.com/?ctiid.287869 · Nota
• https://code-projects.org · Nota