PT-2024-37497 · Unknown · Lahirudanushka School Management System

Louay Khammassi · Publicado 2024-06-23 · Atualizado 2024-09-19 · CVE-2024-6268

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Sistema de Gestão Escolar lahirudanushka, versões 1.0.0 a 1.0.1

Descrição:

Foi identificada uma falha crítica no Sistema de Gestão Escolar lahirudanushka, afetando uma funcionalidade não especificada do arquivo login.php do componente Página de Login. A manipulação do argumento email leva a uma injeção de SQL. O ataque pode ser lançado remotamente.

Recomendações:

Para as versões 1.0.0 a 1.0.1, considere desativar o arquivo login.php ou restringir o acesso à Página de Login até que uma correção esteja disponível. Evite usar o argumento email na funcionalidade de login afetada para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-6268

Produtos afetados

Lahirudanushka School Management System

Referências · 11

• 🔥 https://powerful-bulb-c36.notion.site/SQL-injection-to-authorization-bypass-af95fa2c72b84b4297e3d61c17cd7cdb?pvs=4 · Exploit
• https://github.com/lahirudanushka/School-Management-System---PHP-MySQL/issues/2 · Nota
• https://t.me/cvenotify/95298 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1804810908809732108 · Publicação no Twitter
• https://twitter.com/linuxpatch/status/1804833139765682602 · Publicação no Twitter
• https://vuldb.com/?submit.362805 · Nota
• https://vuldb.com/?id.269480 · Nota
• https://osv.dev/vulnerability/CVE-2024-6268 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-6268 · Nota de Segurança
• https://vuldb.com/?ctiid.269480 · Nota
• https://t.me/cvenotify/84125 · Publicação no Telegram