PT-2024-34482 · Itsourcecode · Itsourcecode Construction Management System

Akhlak2511 · Publicado 2024-11-13 · Atualizado 2024-11-18 · CVE-2024-50972

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Itsourcecode Construction Management System versão 1.0

Descrição:

Uma vulnerabilidade de injeção de SQL no arquivo printtool.php permite que invasores remotos executem comandos SQL arbitrários por meio do parâmetro borrow id. Isso permite que os invasores manipulem consultas ao banco de dados, o que pode levar ao acesso ou à modificação não autorizada de dados.

Recomendações:

Para o Itsourcecode Construction Management System versão 1.0, como solução temporária, considere restringir o acesso ao arquivo printtool.php ou desativar o parâmetro borrow id até que um patch esteja disponível. Evite usar o parâmetro borrow id no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-50972

Produtos afetados

Itsourcecode Construction Management System

Referências · 7

• 🔥 https://github.com/Akhlak2511/CVE-2024-50972 · Exploit
• https://twitter.com/CVEnew/status/1856726597681774977 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-50972 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-50972 · Aviso do Fabricante
• https://itsourcecode.com/free-projects/php-project/construction-management-system-project-in-php-with-source-code · Nota
• https://twitter.com/VulmonFeeds/status/1856767223001485612 · Publicação no Twitter
• https://t.me/cvedetector/10837 · Publicação no Telegram