CVE-2023-33677
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W systemie Lost and Found Information System w wersji 1.0 odkryto podatność na nieuwierzytelnione wstrzyknięcie SQL. Atakujący może wykorzystać parametr "id" w żądaniu GET do strony "?page=items/view&id=*" bez konieczności logowania.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do bazy danych, co może prowadzić do wycieku, modyfikacji lub usunięcia poufnych danych, w tym informacji o zgubionych przedmiotach i użytkownikach.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Jeśli aktualizacja nie jest dostępna, należy wdrożyć walidację wejścia i parametryzowane zapytania SQL dla parametru "id".
Inne podatności w Lost and Found Information System
Zobacz wszystkie- CVE-2024-37858Krytyczne
Podatność SQL Injection w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr id w pliku manage_category.php.
- CVE-2024-37859Średnie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr 'page' w skrypcie php-lfis/admin/index.php.
- CVE-2024-37857Wysokie
Podatność SQL Injection w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr id w pliku view_category.php.
- CVE-2024-37856Średnie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez pola imienia, nazwiska i drugiego imienia na stronie profilu użytkownika.
- CVE-2023-36159Średnie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez pola First Name, Middle Name i Last Name na stronie Create User.
Oryginalny opis (angielski, źródło NVD)
Sourcecodester Lost and Found Information System's Version 1.0 is vulnerable to unauthenticated SQL Injection at "?page=items/view&id=*".