Уязвимость SQL-инъекции в code-projects Internship Management System (CVE-2026-93979)
В code-projects Internship Management System 1.0 обнаружена уязвимость SQL-инъекции в файле /employer/login.php. Эксплуатация возможна удалённо через манипуляцию параметром Password, публичный эксплойт уже доступен. Уязвимости присвоен средний уровень опасности (CVSS 6.9).
Подробности
Уязвимость локализована в файле /employer/login.php. При обработке параметра Password пользовательские данные не проходят должную проверку и попадают в SQL-запрос, что открывает возможность для инъекции. Атака может проводиться удалённо — злоумышленнику не требуется физический доступ к системе или предварительная аутентификация. Уязвимость затрагивает code-projects Internship Management System версии 1.0. Проблеме присвоен базовый балл CVSS 6.9, что соответствует среднему уровню критичности. Такой рейтинг отражает как сетевой вектор атаки, так и потенциально серьёзные последствия: успешная эксплуатация SQL-инъекции в форме входа может позволить обойти аутентификацию, получить несанкционированный доступ к учётным записям работодателей или извлечь данные из базы. Наличие публичного эксплойта означает, что инструменты атаки доступны широкому кругу лиц, что повышает вероятность реальных инцидентов. Стоит отметить, что продукт относится к категории учебных/демонстрационных проектов (code-projects), которые часто разворачиваются на серверах без дополнительной защиты и не всегда своевременно обновляются. Это дополнительно увеличивает риски для организаций и частных лиц, использующих данное решение.Что делать
На момент публикации сведений об официальном патче в записи CVE нет. Рекомендуется следующий комплекс мер: - Проверить, используется ли Internship Management System 1.0 в вашей инфраструктуре, и при возможности отказаться от его эксплуатации в пользу поддерживаемого решения. - Следить за обновлениями от разработчика code-projects и установить исправление сразу после его выпуска. - В качестве временной митигации ограничить сетевой доступ к разделу /employer/login.php (например, средствами WAF, reverse proxy или правил межсетевого экрана), разрешив подключения только с доверенных адресов. - Внедрить фильтрацию и параметризацию входных данных на стороне приложения, если есть возможность правки кода: подготовленные выражения (prepared statements) исключают подобные инъекции. - Провести проверку журналов веб-сервера и БД на предмет подозрительных запросов к login.php, а также сменить пароли учётных записей работодателей на случай компрометации. Итог: CVE-2026-93979 — удалённая SQL-инъекция средней критичности в компоненте аутентификации code-projects Internship Management System 1.0. Публичный эксплойт и отсутствие официального патча делают своевременные митигации обязательными для всех, кто использует это решение.Источник: CVE Project (cvelistV5)