Podatności HaPe PKH

Podatność w HaPe PKH 1.1 pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych rekordów poprzez wysłanie spreparowanego żądania zawierającego identyfikator celu. Punkty końcowe admin/modul/mod_pengurus/aksi_pengurus.php i admin/modul/mod_update/aksi_update.php nie weryfikują uprawnień przed wykonaniem operacji usuwania.

Podatność SQL Injection w HaPe PKH 1.1 umożliwia nieuwierzytelnionym atakującym manipulowanie zapytaniami do bazy danych poprzez wstrzyknięcie kodu SQL w parametrze 'desa' przesyłanym do skryptu lap-peserta-perdesa-pdf.php. Atakujący może wysłać spreparowane żądanie z czasowym payloadem typu blind, aby wyodrębnić wrażliwe dane z bazy.

Podatność SQL Injection w HaPe PKH 1.1 umożliwia nieuwierzytelnionym atakującym manipulację zapytaniami do bazy danych poprzez wstrzyknięcie kodu SQL w parametrze 'nama_kelompok' przesyłanym do skryptu lap-anggota-kelompok-pdf.php. Atakujący może wysłać spreparowane żądanie z ładunkiem czasowym, aby wydobyć wrażliwe dane z bazy.

HaPe PKH 1.1 zawiera podatność na dowolne przesyłanie plików, która umożliwia uwierzytelnionym atakującym ominięcie walidacji typu pliku i przesłanie złośliwych plików. Poprzez endpointy aksi_foto.php, aksi_user.php oraz aksi_kecamatan.php mogą oni przesłać pliki PHP i wykonać dowolny kod na serwerze.

HaPe PKH 1.1 zawiera podatność na Cross‑Site Request Forgery (CSRF), która pozwala atakującym na zmianę haseł administratora poprzez wysłanie sfałszowanych żądań do endpointu aktualizacji użytkownika. Atakujący mogą tworzyć złośliwe formularze kierowane do skryptu aksi_user.php z parametrami id_user, password i level, aby zmodyfikować dane logowania administratora bez autoryzacji.

Aplikacja HaPe PKH 1.1 zawiera wiele podatności na wstrzykiwanie SQL w pliku admin/media.php, umożliwiających manipulację zapytaniami do bazy danych poprzez parametr 'id'. Niezautoryzowany atakujący może wykorzystać moduł desa, a uwierzytelnieni użytkownicy moduły pengurus, fasilitas i kelompok, co prowadzi do wycieku wrażliwych danych, takich jak bieżący użytkownik, nazwa bazy danych i wersja DBMS.