PT-2024-17863 · Unknown · 1000 Projects Portfolio Management System Mca

Naotuo · Publicado 2024-12-29 · Atualizado 2024-12-31 · CVE-2024-13003

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de gerenciamento de portfólio 1000 Projects, versão MCA 1.0

Descrição

Uma falha crítica afeta uma funcionalidade desconhecida do arquivo /update ed.php. A manipulação do argumento e id leva a uma injeção de SQL. O ataque pode ser lançado remotamente.

Recomendações

Para a versão 1.0, como solução temporária, considere restringir o acesso ao arquivo /update ed.php até que um patch esteja disponível. Evite usar o argumento e id no arquivo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-13003

Produtos afetados

1000 Projects Portfolio Management System Mca

Referências · 12

• 🔥 https://github.com/naotuo/CVE/blob/main/SQL_Injection_in_Portfolio_Management_System.md · Exploit
• https://t.me/cvenotify/105864 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-13003 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1873230656211231225 · Publicação no Twitter
• https://t.me/cvenotify/105693 · Publicação no Telegram
• https://vuldb.com/?id.289664 · Nota
• https://t.me/cvedetector/13852 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-13003 · Aviso do Fabricante
• https://vuldb.com/?submit.469452 · Nota
• https://1000projects.org · Nota
• https://vuldb.com/?ctiid.289664 · Nota
• https://twitter.com/CVEnew/status/1873221571835511061 · Publicação no Twitter