PT-2024-15457

CVE-2024-0306

Publicado

2024-01-08

Atualizado

2024-05-17

Descrição por

CVSS 3.1

7.5

Alta

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Kashipara Dynamic Lab Management System, versões até 1.0

Descrição

Foi detectada uma falha crítica no sistema, afetando uma parte desconhecida do arquivo /admin/admin login process.php. A manipulação do argumento admin password leva a uma injeção de SQL. É possível iniciar o ataque remotamente.

Recomendações

Para versões até 1.0, como solução temporária, considere restringir o acesso ao arquivo /admin/admin login process.php até que um patch esteja disponível. Evite usar o argumento admin password no arquivo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Wangzhiqiang

Xiaozilong

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados