PT-2024-17624 · Unknown · Code-Projects Online Class/Exam Scheduling System

T123 · Publicado 2024-12-11 · Atualizado 2024-12-13 · CVE-2024-12490

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de agendamento online de aulas e provas code-projects, versão 1.0

Descrição

Foi identificada uma falha crítica no Sistema de agendamento online de aulas e provas code-projects. Essa falha afeta código não identificado no arquivo /pages/teacher save.php. A manipulação do argumento salut leva a uma injeção de SQL. O ataque pode ser iniciado remotamente. Outros parâmetros também podem ser afetados.

Recomendações

Para o Sistema de Agendamento de Aulas e Exames Online code-projects versão 1.0, considere desativar o argumento salut no arquivo /pages/teacher save.php como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao arquivo /pages/teacher save.php para minimizar o risco de exploração. Evite usar o argumento salut no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-12490

Produtos afetados

Code-Projects Online Class/Exam Scheduling System

Referências · 9

• 🔥 https://github.com/bjtyyy/CVE/blob/main/Online%20Class%20and%20Exam%20Scheduling%20System_teacher_save_php.docx · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-12490 · Nota de Segurança
• https://vuldb.com/?ctiid.287872 · Nota
• https://vuldb.com/?id.287872 · Nota
• https://code-projects.org · Nota
• https://t.me/cvenotify/103968 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1867537649793114236 · Publicação no Twitter
• https://vuldb.com/?submit.459116 · Nota
• https://osv.dev/vulnerability/CVE-2024-12490 · Aviso do Fabricante