CVE-2023-53877

SQL injection w PHPJabbers Bus Reservation System 1.1 (parametr pickup_id)

CVSS 9.3v4.0pub. 2025-12-15upd. 2025-12-18

PHPJabbers Bus Reservation System 1.1 zawiera podatność SQL injection w parametrze pickup_id, umożliwiającą nieuwierzytelnionemu atakującemu manipulację zapytaniami do bazy danych. Ze względu na brak wymagań uwierzytelnienia i krytyczny poziom CVSS 9.3, podatność stanowi poważne zagrożenie dla poufności i integralności przechowywanych danych.

▸ Pokaż oryginał (EN)

Bus Reservation System 1.1 contains a SQL injection vulnerability in the pickup_id parameter that allows attackers to manipulate database queries. Attackers can exploit boolean-based, error-based, and time-based blind SQL injection techniques to steal information from the database.

🤖 Analiza AI

Jak działa

Atakujący może wstrzykiwać złośliwe fragmenty kodu SQL poprzez parametr pickup_id w zapytaniach HTTP, bez konieczności posiadania jakichkolwiek uprawnień. Podatność umożliwia wykorzystanie trzech technik: boolean-based blind SQL injection (wnioskowanie o danych na podstawie odpowiedzi prawda/fałsz), error-based SQL injection (wydobywanie informacji z komunikatów błędów bazy danych) oraz time-based blind SQL injection (wnioskowanie o danych na podstawie czasu odpowiedzi serwera). Wszystkie trzy techniki pozwalają stopniowo wydobywać zawartość bazy danych pomimo braku bezpośredniego wyświetlania wyników zapytań.

Skutki

Atakujący może odczytać lub zmodyfikować dane przechowywane w bazie danych aplikacji, w tym potencjalnie dane osobowe pasażerów, rezerwacje oraz dane uwierzytelniające. Wysoki poziom wpływu na poufność i integralność danych może prowadzić do ich kradzieży lub nieuprawnionej modyfikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie walidacji i parametryzacji zapytań SQL po stronie serwera, a także ograniczenie dostępu do aplikacji na poziomie firewall do zaufanych adresów IP, jeśli jest to możliwe.

Kogo dotyczy

PHPJabbers Bus Reservation System w wersji 1.1

Uwagi

Dostępny jest publiczny exploit w bazie Exploit-DB (ID: 51712), co znacznie obniża próg wejścia dla potencjalnych atakujących.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X