PT-2024-34595 · Unknown · Projects World Travel Management System

Anirudh Krishnaprasad · Publicado 2024-11-04 · Atualizado 2024-11-06 · CVE-2024-51326

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

projectworlds Travel Management System versão 1.0

Descrição

Uma vulnerabilidade de injeção de SQL permite que um invasor remoto execute código arbitrário por meio do parâmetro t2 no arquivo “deletesubcategory.php”. Isso possibilita que o invasor acesse e manipule dados confidenciais.

Recomendações

Para o projectworlds Travel Management System versão 1.0, considere restringir o acesso ao arquivo “deletesubcategory.php” até que um patch esteja disponível. Como solução temporária, evite usar o parâmetro t2 no endpoint da API afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-51326

Produtos afetados

Projects World Travel Management System

Referências · 8

• 🔥 https://github.com/redtrib3/CVEs/tree/main/CVE-2024-51326%20-%20Union%20SQLi · Exploit
• https://osv.dev/vulnerability/CVE-2024-51326 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-51326 · Nota de Segurança
• https://projectworlds.in · Nota
• https://twitter.com/CVEnew/status/1853495256580325643 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1853597281695457319 · Publicação no Twitter
• https://t.me/cvenotify/100808 · Publicação no Telegram
• https://t.me/cvedetector/9773 · Publicação no Telegram