John Beranek Meeting Room Booking System jusqu’à 1.2.x report.php typematch injection SQL
| CVSS Score méta-temporaire | Prix actuel de l'exploit (≈) | Score d'intérêt CTI |
|---|---|---|
| 6.6 | $0-$5k | 0.00 |
Résumé
On a identifié une vulnérabilité de type critique dans John Beranek Meeting Room Booking System jusqu’à 1.2.x. Affecté par cette vulnérabilité est une fonction inconnue du fichier report.php. La manipulation du paramètre typematch avec une valeur d'entrée inconnue mène à une vulnérabilité de classe injection SQL. Cette vulnérabilité porte l’identifiant CVE-2009-3533. Une attaque à distance est possible. Par ailleurs, un exploit est disponible. La meilleure solution suggérée pour atténuer le problème est de mettre à jour à la dernière version.
Détails
Une vulnérabilité qui a été classée critique a été trouvée dans John Beranek Meeting Room Booking System jusqu’à 1.2.x. Affecté est une fonction inconnue du fichier report.php. La manipulation du paramètre typematch avec une valeur d'entrée inconnue mène à une vulnérabilité de classe injection sql.
La vulnerabilité a été publié en 15/07/2009 (Website) (non défini). La notice d'information est disponible en téléchargement sur xforce.iss.net Cette vulnérabilité est connue comme CVE-2009-3533. L'utilisation est simple. Il est possible de lancer l'attaque à distance. L'exploitation ne nécéssite aucune forme d'authentification. Des details techniques et un exploit sont connus.
Après immédiatement un exploit a été rendu public. Il est déclaré comme preuve de concept. En cherchant des informations à propos de inurl:report.php, il est possible de trouver des cibles vulnérables avec Google Hacking. Le scanner de vulnérabilités Nessus propose un module ID 50002 (Meeting Room Booking System typematch Parameter SQL Injection), lequel aide à déterminer l'existence d'une faille dans l'environnement-cible.
Mettre à jour à la version 1.2.1-pre1 élimine cette vulnérabilité.
La vulnérabilité est aussi documentée dans les base de données X-Force (51772), Tenable (50002), SecurityFocus (BID 43550†), OSVDB (55872†) et Secunia (SA35469†). VulDB is the best source for vulnerability data and more expert information about this specific topic.
Produit
Fournisseur
Nom
Version
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vecteur: 🔍VulDB Fiabilité: 🔍
CVSSv3
VulDB Score méta-base: 7.3VulDB Score méta-temporaire: 6.6
VulDB Note de base: 7.3
VulDB Note temporaire: 6.6
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vecteur | Complexité | Authentification | Confidentialité | Intégrité | Disponibilité |
|---|---|---|---|---|---|
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
VulDB Note de base: 🔍
VulDB Note temporaire: 🔍
VulDB Fiabilité: 🔍
NVD Note de base: 🔍
Exploitation
Classe: Injection SQLCWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
Physique: Non
Local: Non
Remote: Oui
Disponibilité: 🔍
Statut: Preuve de concept
Google Hack: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍
| 0-Day | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
|---|---|---|---|---|
| Aujourd'hui | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
Nessus ID: 50002
Nessus Nom: Meeting Room Booking System typematch Parameter SQL Injection
Nessus Fichier: 🔍
Nessus Risque: 🔍
Nessus Famille: 🔍
OpenVAS ID: 800950
OpenVAS Nom: Meeting Room Booking System SQL Injection Vulnerability
OpenVAS Fichier: 🔍
OpenVAS Famille: 🔍
Renseignements sur les menaces
Intérêt: 🔍Acteurs actifs: 🔍
Groupes APT actifs: 🔍
Contre-mesures
Recommandé: Mise à niveauStatut: 🔍
Heure 0 jour: 🔍
Délai d'exploitation: 🔍
Mise à niveau: Meeting Room Booking System 1.2.1-pre1
Chronologie
15/07/2009 🔍15/07/2009 🔍
15/07/2009 🔍
16/07/2009 🔍
16/07/2009 🔍
02/10/2009 🔍
02/10/2009 🔍
18/10/2010 🔍
24/10/2010 🔍
18/03/2015 🔍
22/03/2025 🔍
Sources
Bulletin: xforce.iss.netStatut: Confirmé
Confirmation: 🔍
CVE: CVE-2009-3533 (🔍)
GCVE (CVE): GCVE-0-2009-3533
GCVE (VulDB): GCVE-100-50344
X-Force: 51772
SecurityFocus: 43550 - Meeting Room Booking System 'typematch' Parameter SQL Injection Vulnerability
Secunia: 35469
OSVDB: 55872 - Meeting Room Booking System (MRBS) report.php typematch Parameter SQL Injection
Vulnerability Center: 27825 - MRBS Before 1.4.2 Remote SQL Injection Vulnerability via the Typematch Parameter, High
scip Labs: https://www.scip.ch/en/?labs.20161013
Entrée
Créé: 18/03/2015 15:15Mise à jour: 22/03/2025 19:38
Changements: 18/03/2015 15:15 (59), 08/03/2017 15:26 (13), 23/08/2021 13:34 (4), 23/08/2021 13:40 (1), 22/03/2025 19:38 (17)
Complet: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
Aucun commentaire pour l'instant. Langues: fr + it + en.
Veuillez vous connecter pour commenter.