PT-2024-39568 · Unknown · Sourcecodester Online Timesheet App

Zz0Zz0 · Publicado 2024-09-28 · Atualizado 2024-10-04 · CVE-2024-9319

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Aplicativo SourceCodester Online Timesheet, versão 1.0

Descrição

Foi encontrada uma vulnerabilidade crítica no SourceCodester Online Timesheet App, afetando uma parte desconhecida do arquivo /endpoint/delete-timesheet.php. A manipulação do argumento timesheet leva à injeção de SQL. É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso.

Recomendações

Para o SourceCodester Online Timesheet App versão 1.0, considere desativar o acesso ao endpoint /endpoint/delete-timesheet.php até que uma correção esteja disponível. Como solução temporária, restrinja a manipulação do argumento timesheet para minimizar o risco de exploração por injeção de SQL. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-9319

Produtos afetados

Sourcecodester Online Timesheet App

Referências · 11

• 🔥 https://github.com/zz0zz0/CVE/blob/main/Online%20Timesheet%20App%20--SQL%20injection/Online%20Timesheet%20App%20--SQL%20injection.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-9319 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1841357563415380015 · Publicação no Twitter
• https://vuldb.com/?submit.413329 · Nota
• https://vuldb.com/?id.278823 · Nota
• https://t.me/cvedetector/6617 · Publicação no Telegram
• https://sourcecodester.com · Nota
• https://t.me/cvenotify/96677 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-9319 · Nota de Segurança
• https://vuldb.com/?ctiid.278823 · Nota
• https://twitter.com/cracbot/status/1842082268040593800 · Publicação no Twitter