CVE-2024-48283

Podatność występuje w pliku /admin//search-result.php, gdzie parametr searchkey przekazywany przez użytkownika nie jest odpowiednio walidowany ani filtrowany przed użyciem w zapytaniu SQL. Atakujący może wstrzyknąć złośliwy kod SQL bezpośrednio do tego parametru, manipulując logiką zapytania wykonywanego przez serwer bazodanowy. Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, co znacząco obniża próg jego wykonania.

Atakujący może uzyskać nieautoryzowany dostęp do pełnej zawartości bazy danych (w tym danych uwierzytelniających użytkowników i administratorów), a w zależności od konfiguracji serwera bazy danych — również modyfikować lub usuwać dane oraz potencjalnie wykonywać polecenia systemowe.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz wdrożenie reguł WAF blokujących typowe wzorce SQL Injection.

Phpgurukul User Registration & Login and User Management System wersja 3.2

Dostępny jest publiczny writeup techniczny dokumentujący podatność, opublikowany w repozytorium GitHub przez badacza m14r41.