PT-2024-17865 · Unknown · 1000 Projects Attendance Tracking Management System

Hacker0Xone · Publicado 2024-12-29 · Atualizado 2024-12-29 · CVE-2024-13005

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de gerenciamento de controle de frequência 1000 Projects, versão 1.0

Descrição

Foi identificada uma falha crítica no Sistema de gerenciamento de controle de frequência 1000 Projects. Essa falha afeta o arquivo /admin/attendance action.php e está relacionada à manipulação do argumento attendance id, o que leva a uma injeção de SQL. O ataque pode ser iniciado remotamente. A vulnerabilidade já foi divulgada ao público e pode estar sendo explorada.

Recomendações

Para a versão 1.0, considere desativar o arquivo /admin/attendance action.php ou restringir o acesso a ele até que um patch esteja disponível. Como solução temporária, evite usar o argumento attendance id no arquivo afetado para minimizar o risco de exploração.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-13005

Produtos afetados

1000 Projects Attendance Tracking Management System

Referências · 11

• 🔥 https://github.com/Hacker0xOne/CVE/issues/18 · Exploit
• https://twitter.com/VulmonFeeds/status/1873289580679434416 · Publicação no Twitter
• https://vuldb.com/?id.289666 · Nota
• https://twitter.com/CVEnew/status/1873271722679398691 · Publicação no Twitter
• https://vuldb.com/?ctiid.289666 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13005 · Nota de Segurança
• https://t.me/cvenotify/105699 · Publicação no Telegram
• https://vuldb.com/?submit.469688 · Nota
• https://t.me/cvedetector/13860 · Publicação no Telegram
• https://1000projects.org · Nota
• https://osv.dev/vulnerability/CVE-2024-13005 · Aviso do Fabricante