CVE-2024-27709
KrytyczneStreszczenie
W produkcie webowym Eskooly w wersji 3.0 występuje podatność typu SQL Injection, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr searchby w komponencie allstudents.php oraz parametr id w komponencie requestmanager.php.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych oraz potencjalnego przejęcia kontroli nad systemem, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację produktu Eskooly do najnowszej wersji oraz wprowadzenie filtracji i walidacji danych wejściowych w celu zminimalizowania ryzyka ataków SQL Injection.
Oryginalny opis (angielski, źródło NVD)
SQL Injection vulnerability in Eskooly Web Product v.3.0 allows a remote attacker to execute arbitrary code via the searchby parameter of the allstudents.php component and the id parameter of the requestmanager.php component.