Online Sports Complex Booking System 1.0, un software de reservas para complejos deportivos, es vulnerable a inyección SQL (CWE-89) a través de la ruta \scbs\classes\Master.php?f=delete. Un atacante puede manipular consultas a la base de datos sin autenticarse, lo que permitiría leer, modificar o borrar información sensible del sistema. La severidad asignada es crítica, con un CVSS de 9.8, y GitHub también la clasifica como CRITICAL en su aviso GHSA-x3r9-q6h8-pjhf.
Pese a la gravedad, la explotación real parece limitada: EPSS estima solo un 1.1% de probabilidad de ataque en los próximos 30 días y Shodan no tiene hosts indexados con este CVE expuesto. La técnica asociada es T1190 (explotación de aplicación pública). Si usás este sistema, actualizá o aislá la instancia de internet.
| CVE | CVE-2022-29988 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 1.1% en 30 días (percentil 65) |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.