SQL-инъекция в HospitalManagementSystem (CVE-2026-105383): эксплойт уже опубликован

В системе управления больницами HospitalManagementSystem от разработчика onetwothreeneth обнаружена уязвимость, получившая идентификатор CVE-2026-105383. Проблема затрагивает обработку пользовательского ввода в файле php/controller.php и позволяет проводить SQL-инъекции. Учитывая, что эксплойт уже раскрыт публично, риск практического использования уязвимости существенно возрастает.

Подробности

Уязвимость затрагивает продукт onetwothreeneth HospitalManagementSystem вплоть до коммита 9ef91ed6007314b6473110ed699dff76d158f61d. Проблема связана с обработкой аргумента transaction_idS в файле php/controller.php: недостаточная фильтрация входных данных позволяет злоумышленнику внедрять произвольные SQL-конструкции в запросы к базе данных.

Тип уязвимости — SQL-инъекция (CWE-89). Базовая оценка по CVSS составляет 6.9, что соответствует уровню MEDIUM. Атака может быть выполнена удалённо, без необходимости локального доступа к системе. Эксплойт уже опубликован в открытых источниках, что означает высокую вероятность его использования злоумышленниками.

Важная особенность: проект распространяется по модели rolling release (непрерывные поставки), поэтому конкретные номера уязвимых или исправленных версий недоступны. Разработчики были уведомлены о проблеме через issue-репорт, однако на момент публикации записи ответа не последовало.

Что делать

Поскольку официальное исправление отсутствует, рекомендуются следующие меры:

• Ограничить сетевой доступ к развёрнутым экземплярам HospitalManagementSystem, если система не предназначена для публичного использования.
• Провести аудит кода php/controller.php и вручную реализовать параметризацию SQL-запросов или строгую валидацию аргумента transaction_idS.
• Внедрить WAF-правила для фильтрации подозрительных SQL-паттернов во входящих запросах.
• Отслеживать обновления репозитория проекта и оперативно применять исправления, как только они появятся.
• Проверить журналы доступа на предмет попыток эксплуатации уязвимости.

Уязвимость CVE-2026-105383 представляет реальную угрозу для организаций, использующих HospitalManagementSystem, особенно с учётом наличия публичного эксплойта и отсутствия официального патча. До выпуска исправления единственной надёжной защитой остаются компенсирующие меры: изоляция системы, ручная доработка кода и мониторинг подозрительной активности.

Источник: CVE Project (cvelistV5)