PT-2024-17894 · Unknown · 1000 Projects Attendance Tracking Management System

Mxh9934 · Publicado 2024-12-30 · Atualizado 2025-01-06 · CVE-2024-13037

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de gerenciamento de controle de frequência 1000 Projects, versão 1.0

Descrição

Foi identificada uma falha crítica na função attendance report do arquivo /admin/report.php. A manipulação do argumento course id leva a uma injeção de SQL. É possível lançar o ataque remotamente. A vulnerabilidade já foi divulgada publicamente e pode estar sendo explorada.

Recomendações

Para a versão 1.0, considere desativar a função attendance report até que um patch esteja disponível. Restrinja o acesso ao arquivo /admin/report.php para minimizar o risco de exploração. Evite usar o argumento course id na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-13037

Produtos afetados

1000 Projects Attendance Tracking Management System

Referências · 10

• 🔥 https://github.com/matias-a11y/cve/issues/2 · Exploit
• https://t.me/cvenotify/105736 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-13037 · Aviso do Fabricante
• https://vuldb.com/?id.289770 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13037 · Nota de Segurança
• https://vuldb.com/?ctiid.289770 · Nota
• https://t.me/cvedetector/13918 · Publicação no Telegram
• https://1000projects.org · Nota
• https://vuldb.com/?submit.471674 · Nota
• https://twitter.com/VulmonFeeds/status/1873591809173037376 · Publicação no Twitter