PT-2024-33051 · Unknown · School Erp Pro+Responsive
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
School ERP Pro+Responsive versão 1.0
Descrição
A vulnerabilidade permite injeção de SQL através do índice “/SchoolERP/office admin/” em parâmetros como
groups id, examname, classes id, es voucherid, es class, etc. Isso poderia permitir que um invasor remoto enviasse uma consulta SQL especialmente criada para o servidor e recuperasse todas as informações armazenadas no banco de dados.Recomendações
Para o School ERP Pro+Responsive versão 1.0, como solução temporária, considere restringir o acesso aos parâmetros vulneráveis
groups id, examname, classes id, es voucherid, es class, etc. no índice “/SchoolERP/office admin/” até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
School Erp Pro+Responsive