Уязвимость обхода аутентификации в SourceCodester Human Resource Management System (CVE-2026-108972)

В системе управления персоналом SourceCodester Human Resource Management System 1.0 выявлена уязвимость, связанная с некорректной реализацией аутентификации. Проблема затрагивает компонент Employee Endpoint и может позволить злоумышленнику обойти проверки подлинности при удалённом взаимодействии с приложением. Поскольку эксплойт уже находится в открытом доступе, риск практического использования уязвимости существенно возрастает.

Подробности

Уязвимость CVE-2026-108972 затрагивает функцию session_start в файле controller/employee.php компонента Employee Endpoint продукта SourceCodester Human Resource Management System версии 1.0. При манипуляции аргументами role, pfimg или EmpId нарушается логика аутентификации, что приводит к неправильной аутентификации (improper authentication). Это позволяет атакующему получить доступ к функциональности, предназначенной только для авторизованных пользователей, в том числе с привилегиями сотрудника или администратора. Атака может быть выполнена удалённо, без физического доступа к системе. Согласно оценке CVSS, уязвимости присвоен уровень 6.9 (MEDIUM), что отражает значимость потенциального воздействия при относительно невысокой сложности эксплуатации. Важно отметить, что эксплойт для данной уязвимости уже опубликован публично, поэтому вероятность его активного использования в реальных атаках повышается.

Что делать

На момент публикации CVE информация об официальном патче от производителя отсутствует. В качестве первоочередных мер рекомендуется: - Проверить, используется ли в инфраструктуре SourceCodester Human Resource Management System 1.0, особенно если система доступна из интернета. - Ограничить сетевой доступ к компоненту Employee Endpoint (controller/employee.php) средствами межсетевого экрана или обратного прокси, разрешив подключения только с доверенных адресов. - Внедрить дополнительный уровень аутентификации на периметре (например, HTTP-аутентификацию или VPN) для доступа к административным и кадровым разделам. - Настроить мониторинг и логирование обращений к controller/employee.php, уделив внимание аномальным параметрам role, pfimg и EmpId. - При появлении официального обновления от SourceCodester — незамедлительно установить его. Если система не критична для бизнеса и не поддерживается производителем, стоит рассмотреть её замену на решение с активной поддержкой и регулярными обновлениями безопасности.

Итог

CVE-2026-108972 — это уязвимость неправильной аутентификации в SourceCodester Human Resource Management System 1.0, эксплуатируемая удалённо и имеющая публичный эксплойт. До выпуска официального патча организациям следует ограничить доступ к уязвимому компоненту, усилить аутентификацию на периметре и организовать мониторинг подозрительной активности. Учитывая наличие готового эксплойта, промедление с митигациями повышает риск компрометации кадровых данных.

Источник: CVE Project (cvelistV5)