Summary
SQL injection in PHP Timeclock (CVE-2021-47966). Confidential information can be exposed externally.
Original description
The description as published by the source.
PHP Timeclock 1.04 contains time-based and boolean-based blind SQL injection vulnerabilities in the login_userid parameter of login.php that allows unauthenticated attackers to extract database contents. Attackers can submit crafted POST requests with SQL payloads using SLEEP functions or RLIKE conditional statements to dump sensitive database information including employee names and credentials.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
PHP Timeclock 1.04のlogin.phpには、ログインユーザーIDパラメータに関連する時間ベースおよびブールベースのSQLインジェクション脆弱性があります。この脆弱性を利用することで、攻撃者は認証を経ずにデータベースから機密情報を引き出すことができます。
PHP Timeclock 1.04のlogin.phpにおけるログインユーザーIDパラメータにSQLインジェクション脆弱性が存在します。
PHP Timeclock 1.04のlogin.php
無認証でデータベースの機密情報を取り出すことができ、高い重要性を持つ。
パラメータのバリデーションを強化し、SQLインジェクションを防ぐための適切なエスケープとプリペアードステートメントを利用してください。
可能であれば、直接アクセスを制限し、サーバーでのログイン操作を監視します。
異常なデータベースクエリの監視とログレーションにより検出可能です。
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web sourceforge.net
- web github.com