PT-2020-11930
CVE-2020-10106
·
Publicado
2020-03-05
·
Atualizado
2020-03-06
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Sistema PHPGurukul Daily Expense Tracker, versão 1.0
Descrição
A vulnerabilidade permite a injeção de SQL, conforme demonstrado pelo parâmetro
email nos arquivos “index.php” ou “register.php”, possibilitando o vazamento do conteúdo do banco de dados MySQL e contornando a solicitação de login.Recomendações
Para o PHPGurukul Daily Expense Tracker System versão 1.0, considere restringir o acesso ao parâmetro
email nos pontos de extremidade da API afetados até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro email em “index.php” ou “register.php” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾