SQL-инъекция в Employee Recruitment System (CVE-2026-116050)
В krupalshah Employee Recruitment System выявлена уязвимость, позволяющая удалённому атакующему внедрять произвольные SQL-конструкции через форму регистрации. Проблема затрагивает продукты, которые уже не сопровождаются мейнтейнером, что делает ситуацию особенно неприятной для тех, кто продолжает использовать систему.
Подробности
Уязвимость CVE-2026-116050 относится к классу SQL-инъекций (SQL Injection) и локализована в компоненте Registration — файле /source/registerform3.php. Опасность представляет манипуляция аргументом pemail: недостаточная обработка пользовательского ввода позволяет внедрить в SQL-запрос произвольные конструкции. Атака может быть инициирована удалённо, без необходимости локального доступа к системе.
Согласно записи CVE, уязвимость подтверждена для версий вплоть до коммита 922ff6d208278282e7c8e36d70d9ae356adec9fe. Продукт распространяется по модели непрерывных поставок с плавающими релизами (rolling releases), поэтому конкретные номера затронутых и исправленных версий не приводятся. Уязвимость имеет оценку CVSS 6.9 (MEDIUM). Эксплойт раскрыт публично и может быть использован злоумышленниками.
Отдельно отмечается, что вендор был заблаговременно уведомлён о проблеме, но не ответил. Уязвимость затрагивает только продукты, которые больше не поддерживаются мейнтейнером, — то есть патч от разработчика ожидать не стоит.
Что делать
Поскольку официальное обновление недоступно, рекомендуются компенсирующие меры:
- Разместить форму регистрации за WAF с правилами фильтрации SQL-инъекций либо ограничить доступ к
/source/registerform3.phpпо IP-адресам доверенных сетей. - Внести правки в код самостоятельно: использовать параметризованные запросы (prepared statements) и строгую валидацию параметра
pemailна стороне сервера. - Ограничить права учётной записи СУБД, используемой приложением, до минимально необходимых, чтобы снизить последствия возможной эксплуатации.
- Провести проверку журналов веб-сервера и СУБД на предмет подозрительных запросов к форме регистрации.
- Рассмотреть миграцию на поддерживаемую альтернативу: продукт не сопровождается, и новые уязвимости в нём, вероятно, останутся без исправлений.
Итог: CVE-2026-116050 — умеренно опасная, но уже публично эксплуатируемая SQL-инъекция в неподдерживаемом продукте. Без патча от вендора единственный надёжный путь — самостоятельное исправление кода или отказ от использования системы.
Источник: CVE Project (cvelistV5)