SQL-инъекция в code-projects Internship Management System (CVE-2026-93978)

В системе управления стажировками Internship Management System от code-projects выявлена уязвимость класса SQL-инъекция. Проблема затрагивает функцию аутентификации, что делает её особенно опасной: эксплуатация возможна без предварительного входа в систему.

Подробности

Уязвимости подвержена версия code-projects Internship Management System 1.0. Проблема локализована в файле /login.php. При обработке аргумента Password приложение не выполняет корректную валидацию и экранирование входных данных, из-за чего пользовательский ввод попадает непосредственно в SQL-запрос. Это позволяет злоумышленнику внедрять произвольные SQL-конструкции и влиять на логику обращения к базе данных.

Атака может быть выполнена удалённо, без физического доступа к серверу. Уязвимости присвоен уровень CVSS 6.9 (MEDIUM). Дополнительный фактор риска — публичная доступность эксплойта: код эксплуатации уже раскрыт, что снижает порог входа для потенциальных атакующих и повышает вероятность массовых попыток компрометации.

Что делать

На момент публикации официальное обновление, устраняющее уязвимость, не подтверждено — рекомендуется следить за релизами проекта code-projects и как можно скорее применить патч, когда он появится. До этого целесообразно воспользоваться следующими мерами:

• Ограничить сетевой доступ к /login.php и административным интерфейсам, если система не должна быть открыта в интернет.
• Развернуть WAF или другую систему фильтрации запросов, настроенную на сигнатуры SQL-инъекций.
• Проверить код аутентификации и, где возможно, перейти на параметризованные запросы (prepared statements) вместо конкатенации строк.
• Ограничить права учётной записи, под которой приложение подключается к базе данных, до необходимого минимума.
• Провести аудит журналов на предмет подозрительных обращений к login.php с признаками инъекций.

Если система не поддерживается разработчиком, стоит рассмотреть её замену или изоляцию в отдельном сегменте сети без доступа к чувствительным данным.

Уязвимость CVE-2026-93978 в Internship Management System — типичный пример опасности SQL-инъекций в коде аутентификации: сочетание удалённой эксплуатации и публичного эксплойта делает её реальной угрозой для открытых развёртываний. Организациям, использующим продукт, рекомендуется оперативно ограничить доступ к уязвимому компоненту и подготовиться к установке патча.

Источник: CVE Project (cvelistV5)