projectworlds Car Rental System Parameter pay.php sql injection

Projectworlds के Car Rental System 1.0 में, फ़ाइल /pay.php के Parameter Handler घटक में एक SQL इंजेक्शन भेद्यता की पहचान की गई है। यह भेद्यता 'mpesa' तर्क को संभालने वाले अज्ञात फ़ंक्शन को प्रभावित करती है। एक हमलावर इस तर्क में हेरफेर करके दुर्भावनापूर्ण SQL क्वेरी निष्पादित कर सकता है, जिससे डेटाबेस से संवेदनशील डेटा को अनधिकृत रूप से एक्सेस, संशोधित या हटाया जा सकता है। इस भेद्यता की गंभीरता को CVSS 7.3 के रूप में रेट किया गया है, जो मध्यम से उच्च जोखिम दर्शाता है। शोषण की सार्वजनिक उपलब्धता दुर्भावनापूर्ण अभिनेताओं द्वारा हमलों के जोखिम को काफी बढ़ा देती है, क्योंकि यह विभिन्न तकनीकी कौशल स्तरों के हमलावरों के लिए शोषण करना आसान बनाती है। प्रदान किए गए फिक्स की अनुपस्थिति तत्काल सक्रिय उपायों को जोखिम को कम करने के लिए आवश्यक बनाती है।

Organizations utilizing projectworlds Car Rental System, particularly those hosting the application on shared hosting environments or without robust input validation practices, are at significant risk. Businesses relying on the Car Rental System for critical operations, such as managing reservations and processing payments, are especially vulnerable to the potential impact of data breaches and service disruptions.

• php: Examine access logs for requests to /pay.php with unusual or malformed 'mpesa' parameters. Use grep to search for suspicious SQL keywords within the request parameters.

grep 'mpesa[=](;|--)' /var/log/apache2/access.log

• generic web: Use curl to test the /pay.php endpoint with various SQL injection payloads to identify potential vulnerabilities.

curl 'http://your-car-rental-system/pay.php?mpesa=1' # Basic test
curl 'http://your-car-rental-system/pay.php?mpesa=1; DROP TABLE users;' # Malicious payload (test in a safe environment)

1. 2026-04-06Disclosure

   disclosure

1. आरक्षित2026-04-05
2. प्रकाशित2026-04-06
3. EPSS अद्यतन2026-04-13

चूंकि कोई आधिकारिक फिक्स (फिक्स: कोई नहीं) प्रदान नहीं किया गया है, इसलिए इस भेद्यता को कम करने के लिए एक सक्रिय और मैन्युअल दृष्टिकोण की आवश्यकता है। Car Rental System 1.0 के प्रशासकों को विशेष रूप से /pay.php फ़ाइल के कोड का गहन ऑडिट करने, SQL इंजेक्शन भेद्यता की पहचान करने और उसे ठीक करने की दृढ़ता से अनुशंसा की जाती है। सभी उपयोगकर्ता इनपुट, विशेष रूप से 'mpesa' तर्क के लिए मजबूत इनपुट सत्यापन और सैनिटाइजेशन को लागू करना महत्वपूर्ण है। एप्लिकेशन द्वारा उपयोग किए गए डेटाबेस खाते के विशेषाधिकारों को सीमित करना और SQL इंजेक्शन प्रयासों का पता लगाने और उन्हें ब्लॉक करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू करने पर विचार करना भी अनुशंसित है। सिस्टम लॉग की सक्रिय रूप से निगरानी करना संदिग्ध गतिविधि के लिए भी महत्वपूर्ण है।