PHP Timeclock 1.04 contains time-based and boolean-based bli…(CVE-2021-47966・CVSS 8.2)

概要

PHP Timeclock 1.04 contains time-based and boolean-based blind SQL injection vulnerabilities in...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

PHP Timeclock 1.04 contains time-based and boolean-based blind SQL injection vulnerabilities in the login_userid parameter of login.php that allows unauthenticated attackers to extract database contents. Attackers can submit crafted POST requests with SQL payloads using SLEEP functions or RLIKE conditional statements to dump sensitive database information including employee names and credentials.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

PHP Timeclock 1.04のlogin.phpには、ログインユーザーIDパラメータに関連する時間ベースおよびブールベースのSQLインジェクション脆弱性があります。この脆弱性を利用することで、攻撃者は認証を経ずにデータベースから機密情報を引き出すことができます。

❓ 何が問題か

PHP Timeclock 1.04のlogin.phpにおけるログインユーザーIDパラメータにSQLインジェクション脆弱性が存在します。

📍 影響範囲

PHP Timeclock 1.04のlogin.php

🔥 重要度

無認証でデータベースの機密情報を取り出すことができ、高い重要性を持つ。

🔧 修正方法

パラメータのバリデーションを強化し、SQLインジェクションを防ぐための適切なエスケープとプリペアードステートメントを利用してください。

🛡️ 暫定回避

可能であれば、直接アクセスを制限し、サーバーでのログイン操作を監視します。

🔍 検知方法

異常なデータベースクエリの監視とログレーションにより検出可能です。