SQL-инъекция в CloudClassroom-PHP-Project (CVE-2026-100875)
В CloudClassroom-PHP-Project выявлена уязвимость SQL-инъекции в файле updatedetailsfromfaculty.php. Атака возможна удалённо, эксплойт уже опубликован, а производитель не ответил на уведомление. Уровень опасности — средний (CVSS 6.9).
Подробности
Уязвимость классифицируется как SQL-инъекция (CWE-89) и получила идентификатор CVE-2026-100875. Рейтинг CVSS составляет 6.9 (MEDIUM). Уязвимый файл — updatedetailsfromfaculty.php; манипулируя аргументом myfid, атакующий может выполнить SQL-инъекцию. Эксплуатация возможна удалённо, без аутентификации или с минимальными привилегиями, что повышает практическую значимость угрозы. Эксплойт уже раскрыт публично и может быть использован злоумышленниками. Затронуты версии проекта вплоть до коммита 5dadec098bfbbf3300d60c3494db3fb95b66e7be включительно. Проект распространяется по модели rolling release (непрерывные поставки), поэтому конкретные номера версий для уязвимых и исправленных сборок не указаны. Производителю было направлено уведомление об уязвимости на раннем этапе, однако он не отреагировал.Что делать
Поскольку вендор не выпустил официальный патч и не подтвердил исправление, рекомендуется: - Проверить, используется ли CloudClassroom-PHP-Project в вашей инфраструктуре, и по возможности ограничить доступ к updatedetailsfromfaculty.php. - Внедрить строгую валидацию и параметризацию запросов для параметра myfid, если вы поддерживаете собственную сборку проекта. - Использовать WAF для блокировки типовых SQL-инъекций и настроить мониторинг подозрительной активности. - Рассмотреть переход на поддерживаемую альтернативу, если вендор не выпустит исправление. - Следить за обновлениями репозитория проекта, так как из-за rolling release исправление может появиться в виде нового коммита без отдельного релиза.Итог
CVE-2026-100875 — это удалённо эксплуатируемая SQL-инъекция в CloudClassroom-PHP-Project с опубликованным эксплойтом и отсутствием реакции вендора. При использовании проекта следует немедленно применить компенсирующие меры и ограничить доступ к уязвимому компоненту.Источник: CVE Project (cvelistV5)