CVE-2024-24093

SQL Injection w Code-Projects Scholars Tracking System 1.0

CVSS 9.8v3.1pub. 2024-03-12upd. 2025-04-03

W systemie Code-Projects Scholars Tracking System 1.0 odkryto krytyczną podatność typu SQL Injection, umożliwiającą nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu. Ze względu na brak wymagań dotyczących uwierzytelnienia oraz najwyższy wynik CVSS (9.8), podatność stanowi poważne zagrożenie dla każdej instalacji tego oprogramowania.

▸ Pokaż oryginał (EN)

SQL Injection vulnerability in Code-projects Scholars Tracking System 1.0 allows attackers to run arbitrary code via Personal Information Update information.

🤖 Analiza AI

Jak działa

Podatność występuje w funkcjonalności aktualizacji danych osobowych (Personal Information Update). Atakujący może wprowadzić złośliwie spreparowane dane wejściowe do odpowiedniego pola formularza, które są następnie przekazywane bezpośrednio do zapytania SQL bez odpowiedniej walidacji ani sanityzacji. W ten sposób możliwe jest zmodyfikowanie logiki zapytania do bazy danych i wykonanie dowolnych poleceń SQL (CWE-89).

Skutki

Atakujący może uzyskać pełną kontrolę nad bazą danych aplikacji — odczytać, zmodyfikować lub usunąć przechowywane dane, a także potencjalnie wykonać dowolny kod po stronie serwera, co skutkuje naruszeniem poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie parametryzowanych zapytań SQL oraz mechanizmów walidacji danych wejściowych, a także ograniczenie dostępu sieciowego do aplikacji do zaufanych źródeł.