PT-2025-50744 · Unknown · Xhibiter Nft Marketplace

Sohel Yousef · Publicado 2025-12-11 · Atualizado 2026-01-21 · CVE-2024-58290

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Xhibiter NFT Marketplace versão 1.10.2

Descrição O software Xhibiter NFT Marketplace apresenta uma vulnerabilidade de injeção de SQL no endpoint collections. Um atacante pode manipular consultas ao banco de dados utilizando o parâmetro id. Técnicas de injeção de SQL baseadas em booleanos, baseadas em tempo e baseadas em UNION podem ser utilizadas para extrair ou manipular informações do banco de dados mediante o envio de payloads elaborados para a página collections. O endpoint da API afetado é '/collections'. O parâmetro vulnerável é id.

Recomendações Aplique uma correção para sanitizar o parâmetro id no endpoint collections a fim de prevenir injeção de SQL. Como medida paliativa temporária, restrinja o acesso ao endpoint collections para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-58290

Produtos afetados

Xhibiter Nft Marketplace

Referências · 8

• 🔥 https://exploit-db.com/exploits/52060 · Exploit
• https://twitter.com/SohelYousefcve/status/2013339658386592139 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-58290 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1999324579865518535 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/1999236621888090117 · Publicação no Twitter
• https://twitter.com/SohelYousefcve/status/2014004246270591262 · Publicação no Twitter
• https://vulncheck.com/advisories/xhibiter-nft-marketplace-sql-injection-via-collections-endpoint · Nota
• https://elements.envato.com/xhibiter-nft-marketplace-html-template-AQN45FA · Nota