itsourcecode Construction Management System Injeção SQL (SQL Injection) em borrowed_equip.php

Uma vulnerabilidade de injeção SQL foi identificada no sistema de gerenciamento de construção itsourcecode versão 1.0. A vulnerabilidade reside em uma função desconhecida no arquivo /borrowed_equip.php, especificamente no componente 'Parameter Handler'. Um atacante pode explorar essa falha manipulando o argumento 'emp' para injetar código SQL malicioso. A gravidade da vulnerabilidade é classificada como CVSS 6.3, indicando um risco moderado. A exploração remota é possível, o que significa que um atacante pode aproveitar a vulnerabilidade de qualquer local com acesso à rede. A divulgação pública da vulnerabilidade aumenta o risco de exploração, pois os atacantes agora têm conhecimento da falha e podem desenvolver exploits.

Construction companies and businesses utilizing the itsourcecode Construction Management System, particularly those with publicly accessible instances or weak security configurations, are at significant risk. Organizations relying on this system for managing project data and financial information are especially vulnerable to data breaches and operational disruptions.

• php: Examine the /borrowedequip.php file for unsanitized use of the 'emp' parameter in SQL queries. Search for patterns like mysqliquery or PDO::query where user input is directly concatenated into the query string.

// Example of vulnerable code
$emp = $_GET['emp'];
$sql = "SELECT * FROM users WHERE username = '$emp';";
mysqli_query($conn, $sql);

• generic web: Monitor access logs for requests to /borrowed_equip.php with unusual or malicious-looking values in the 'emp' parameter (e.g., containing single quotes, semicolons, or SQL keywords). • generic web: Use a WAF to detect and block SQL injection attempts targeting the /borrowed_equip.php endpoint. Configure rules to identify common SQL injection patterns and payloads.

1. 2026-04-06Disclosure

   disclosure

1. Reservado2026-04-06
2. Publicada2026-04-06
3. EPSS atualizado2026-04-14

Atualmente, nenhuma correção oficial foi fornecida pelos desenvolvedores da itsourcecode para esta vulnerabilidade. Os usuários do sistema de gerenciamento de construção itsourcecode versão 1.0 são fortemente aconselhados a tomar medidas imediatas para mitigar o risco. Isso inclui, mas não se limita a, segmentação de rede para limitar o acesso ao sistema, implementação de firewalls e sistemas de detecção de intrusão, e monitoramento ativo dos logs do sistema em busca de atividades suspeitas. Também é altamente recomendável entrar em contato com o fornecedor para solicitar uma atualização de segurança o mais rápido possível. Até que um patch seja lançado, o aplicativo deve ser considerado inseguro.