Vulnerabilidad en Daily Expenses Management System (CVE-2024-29390)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

20/06/2024

Última modificación:

20/06/2025

Descripción

La versión 1.0 de Daily Expenses Management System, desarrollado por PHP Gurukul, contiene una vulnerabilidad de inyección SQL ciega basada en el tiempo en la página &#39;add-expense.php&#39;. Un atacante puede explotar el parámetro &#39;elemento&#39; en una solicitud POST para ejecutar comandos SQL arbitrarios en la base de datos backend. Esto se puede hacer inyectando consultas SQL especialmente manipuladas que hacen que la base de datos realice operaciones que consumen mucho tiempo, confirmando así la presencia de la vulnerabilidad de inyección SQL basada en el retraso en la respuesta del servidor.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.30 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo