PT-2021-23367

CVE-2021-41648

·

Publicado

2021-10-01

·

Atualizado

2021-11-26

Descrição por

CVSS 2.0
5.0
Média
MétricasAV:N/AC:L/Au:N/C:P/I:N/A:N
Nome do software vulnerável e versões afetadas
PuneethReddyHC online-shopping-system-advanced (versões afetadas não especificadas)
Descrição
Existe uma vulnerabilidade de injeção de SQL sem autenticação no software por meio do endpoint da API “/action.php”, especificamente através do parâmetro prId. Isso ocorre porque a entrada do usuário não é devidamente sanitizada ao usar uma solicitação POST.
Recomendações
Como solução temporária, considere restringir o acesso ao endpoint da API “/action.php” até que uma correção esteja disponível.
Evite usar o parâmetro prId no endpoint da API afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')
Identificadores relacionados
CVE-2021-41648
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com