PT-2024-17867 · Unknown · Codezips Event Management System

T3Rm1N4L · Publicado 2024-12-29 · Atualizado 2025-02-25 · CVE-2024-13007

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Codezips Event Management System versão 1.0

Descrição

Foi detectada uma falha crítica no sistema, afetando uma função desconhecida do arquivo /contact.php. A manipulação do argumento title leva a uma injeção de SQL. É possível lançar o ataque remotamente. A vulnerabilidade já foi divulgada ao público e pode estar sendo explorada.

Recomendações

Para o Codezips Event Management System versão 1.0, como solução temporária, considere restringir o acesso ao arquivo /contact.php até que um patch esteja disponível. Evite usar o argumento title no arquivo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-13007

Produtos afetados

Codezips Event Management System

Referências · 11

• 🔥 https://github.com/T3rm1n4L-LYC/Vuldb/blob/main/SQL_Injection_in_Event_Management_System.md · Exploit
• https://twitter.com/VulmonFeeds/status/1873327994090987945 · Publicação no Twitter
• https://t.me/cvenotify/112511 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1873290445142233434 · Publicação no Twitter
• https://t.me/cvenotify/105701 · Publicação no Telegram
• https://vuldb.com/?submit.470304 · Nota
• https://vuldb.com/?ctiid.289668 · Nota
• https://t.me/cvedetector/13870 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-13007 · Aviso do Fabricante
• https://vuldb.com/?id.289668 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13007 · Nota de Segurança