CVE-2017-20197 in Roommate-Bill-Tracking
Summary
by MITRE • 04/09/2025
A vulnerability was found in propanetank Roommate-Bill-Tracking up to 288437f658fc9ee7d4b92a9da12557024d8bc55c. It has been declared as critical. This vulnerability affects unknown code of the file /includes/login.php. The manipulation of the argument Username leads to sql injection. The attack can be initiated remotely. The name of the patch is b32bb1b940f82d38fb9310cd66ebe349e20a1d0a. It is recommended to apply a patch to fix this issue.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
Analysis
by VulDB Data Team • 07/12/2026
This critical vulnerability存在于propanetank Roommate-Bill-Tracking软件的特定版本中，该漏洞影响了/includes/login.php文件中的未知代码组件。攻击者能够通过操纵Username参数触发sql注入攻击，这种攻击方式具有远程利用特性，意味着攻击者无需物理访问系统即可实施攻击。根据安全分析，该漏洞被归类为严重级别，表明其可能对系统完整性和数据安全性造成重大威胁。
从技术实现角度来看，此漏洞属于典型的sql注入缺陷，攻击者可以通过构造恶意的Username输入来操纵后端数据库查询逻辑。当应用程序未对用户输入进行适当验证和过滤时，恶意输入会被直接拼接到sql查询语句中，从而允许攻击者执行任意数据库命令。这种类型的漏洞在软件安全领域被cwe组织归类为cwe-89，即sql注入漏洞，该分类在owasp top 10安全风险列表中占据重要位置。
该漏洞的远程利用能力大大增加了其威胁性，因为攻击者可以在任何网络位置发起攻击，而无需具备本地访问权限。这种攻击模式与att&ck框架中的t1190网络服务漏洞利用技术相吻合，攻击者可以利用此漏洞获取敏感数据、修改数据库内容或完全控制受影响的系统。考虑到该软件可能处理用户账单和财务信息，一旦被成功利用，可能导致严重的数据泄露和财务损失。
针对此漏洞的修复方案是应用指定的补丁程序，该补丁的标识符为b32bb1b940f82d38fb9310cd66ebe349e20a1d0a。建议系统管理员立即部署此安全更新，并对相关系统进行完整性验证。同时应当实施输入验证机制，对所有用户输入参数进行严格过滤和转义处理，采用参数化查询或存储过程来防止sql注入攻击。此外，建议对系统进行全面的安全审计，检查是否存在其他潜在的注入漏洞或其他安全缺陷。