VDB-282909 · Enviar #436311 · CVE-2024-10740

code-projects E-Health Care System hasta 1.0 consulting_detail.php consulting_id inyección SQL

CVSS Puntuación meta temporal	Precio actual del exploit (≈)	Puntuación de interés CTI
7.9	$0-$5k	0.00

Resumeninformación

Se ha detectado una vulnerabilidad clasificada como crítica en code-projects E-Health Care System hasta 1.0. Está afectada una función desconocida en el archivo /Admin/consulting_detail.php. El manejo del argumento consulting_id con el valor de entrada 11%27%20union%20select%20group_concat(table_name),database(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23%20from%20information_schema.tables%20where%20table_schema%20=%20database();--+ como parte de String da lugar a inyección SQL. La vulnerabilidad es identificada como CVE-2024-10740. Es posible lanzar el ataque de forma remota. También se encuentra disponible un exploit.

Detallesinformación

Una vulnerabilidad clasificada como crítica fue encontrada en code-projects E-Health Care System hasta 1.0. Una función desconocida del archivo /Admin/consulting_detail.php es afectada por esta vulnerabilidad. A través de la manipulación del parámetro consulting_id con el valor del input 11%27%20union%20select%20group_concat(table_name),database(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23%20from%20information_schema.tables%20where%20table_schema%20=%20database();--+ se causa una vulnerabilidad de clase inyección sql. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2024-10740. Resulta fácil de explotar. El ataque se puede hacer desde la red. Los detalles técnicos asi como un exploit público son conocidos.

Un exploit ha sido desarrollado por jianglingzhou. El exploit puede ser descargado de github.com. Fue declarado como prueba de concepto. Por lo menos durante 2 días, esta vulnerabilidad fue clasificada como exploit día cero. Buscando inurl:Admin/consulting_detail.php es posible encontrar objetos vulnerables.

No hay información respecto a posibles contramedidas. Se sugiere sustituir el producto con un equivalente.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Productoinformación

Escribe

Project Management Software

Proveedor

code-projects

Nombre

E-Health Care System

Versión

Licencia

libre

Sitio web

Proveedor: https://code-projects.org/

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CNA CVSS-B Score: 🔍
CNA CVSS-BT Score: 🔍
CNA Vector: 🔍

CVSSv3información

VulDB Puntuación meta base: 8.1
VulDB Puntuación meta temporal: 7.9

VulDB Puntuación base: 6.3
VulDB Puntuación temporal: 5.7
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

Investigador Puntuación base: 10.0
Investigador Vector: 🔍

NVD Puntuación base: 9.8
NVD Vector: 🔍

CNA Puntuación base: 6.3
CNA Vector: 🔍

CVSSv2información

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complejidad	Autenticación	Confidencialidad	Integridad	Disponibilidad
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Investigador Puntuación base: 🔍

Explotacióninformación

Clase: Inyección SQL
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Acceso: Público
Estado: Prueba de concepto
Autor: jianglingzhou
Descargar: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍