Injection SQL dans PHP Timeclock (CVE-2021-47966, CVSS 8.2)

Résumé

Injection SQL dans PHP Timeclock (CVE-2021-47966). Des informations confidentielles peuvent être exposées.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

PHP Timeclock 1.04 contains time-based and boolean-based blind SQL injection vulnerabilities in the login_userid parameter of login.php that allows unauthenticated attackers to extract database contents. Attackers can submit crafted POST requests with SQL payloads using SLEEP functions or RLIKE conditional statements to dump sensitive database information including employee names and credentials.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2021-47966 a été découverte dans sqli.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « sqli CVE-2021-47966 » sur le site de l'éditeur.

CVE-2021-47966 (sqli) — CWE-89 / CVSS v3 8.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

PHP Timeclock 1.04のlogin.phpにおけるログインユーザーIDパラメータにSQLインジェクション脆弱性が存在します。

📍 Périmètre concerné

PHP Timeclock 1.04のlogin.php

🔥 Gravité

無認証でデータベースの機密情報を取り出すことができ、高い重要性を持つ。

🔧 Comment corriger

パラメータのバリデーションを強化し、SQLインジェクションを防ぐための適切なエスケープとプリペアードステートメントを利用してください。

🛡️ Contournement

可能であれば、直接アクセスを制限し、サーバーでのログイン操作を監視します。

🔍 Détection

異常なデータベースクエリの監視とログレーションにより検出可能です。

Résumé

Description d'origine

Résumé IA

Références