CVE-2024-42327_Zabbix_SQLI

CVE-2024-42327 - Zabbix SQLインジェクションの脆弱性（SQLI）（ブラインドでも時間ベースでもない） CVE-2024-42327のPOCです。Zabbixのuser.get APIメソッドを介した認証済みSQLインジェクションです。 このPOCは、他のPOCのように時間ベースではありません。 CVEの説明 この脆弱性はuser.get APIエンドポイントに存在し、APIアクセス権を持つ非管理者ユーザー（デフォルトのUserロールを持つアカウントを含む）によって悪用される可能性があります。...

CVE-2024-42327

CVE-2024-42327 / ZBX-25623 の PoC Zabbix フロントエンドの非管理者ユーザーアカウントで、デフォルトの User ロール、または API アクセスを許可するその他のロールを持つ場合、この脆弱性を悪用できます。CUser クラスの addRelatedObjects 関数には SQLi が存在します。この関数は、API アクセスを持つすべてのユーザーが利用できる CUser.get 関数から呼び出されます。 免責事項 このスクリプトは教育目的のみで提供されています！ 概念実証 バージョン 6.0.31 の次のコードは SQLi に対して脆弱です:...

SUSE CVE-2024-42327

A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is availabl...

UBUNTU-CVE-2024-42327

A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is availabl...

CVE-2024-42327: Improper Neutralization of Special Elements used in an SQL Command

A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is availabl...