Уязвимость BDU:2024-00226

Идентификатор: BDU:2024-00226.

Наименование уязвимости: Уязвимость сценария password-recovery.php программного средства управления тестированием на вирус Нипах PHPGurukul Nipah Virus Testing Management System, позволяющая нарушителю выполнять произвольные SQL-запросы к базе данных.

Описание уязвимости: Уязвимость сценария password-recovery.php программного средства управления тестированием на вирус Нипах PHPGurukul Nipah Virus Testing Management System связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные SQL-запросы к базе данных
Уязвимое ПО: Сетевое средство, Сетевое программное средство PHPGurukul PHPGurukul Nipah Virus Testing Management System 1.0 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 10.12.2023.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению:
Компенсирующие меры:
— использование параметризованных запросов (PHP для этого можно использовать PDO (PHP Data Objects) или MySQLi (MySQL Improved));
— использование хранимых процедур (хранимые процедуры могут помочь предотвратить внедрение SQL, инкапсулируя SQL-код и позволяя базе данных выполнять только хранимую процедуру)..
Статус уязвимости: Потенциальная уязвимость
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Информация об устранении отсутствует
Идентификаторы других систем описаний уязвимости: CVE-2023-6648.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/dhabaleshwar/niv_testing_sqliforgotpassword/blob/main/exploit.md
https://vuldb.com/?ctiid.247341
https://vuldb.com/?id.247341