SQL-инъекция в itsourcecode Online Admission System (CVE-2026-105187)
В itsourcecode Online Admission System 1.0 обнаружена уязвимость SQL-инъекции в файле /admin/key.php. Через манипуляцию аргументом ID удалённый атакующий может внедрять произвольные SQL-запросы. Средняя степень критичности (CVSS 5.3), эксплойт уже опубликован.
Подробности
Уязвимость затрагивает версию itsourcecode Online Admission System 1.0. Источник проблемы — файл /admin/key.php, в котором обработка аргумента ID выполняется без должной санитизации входных данных. Манипулируя значением этого параметра, атакующий может внедрить произвольный SQL-код в запрос к базе данных. Опасность заключается в том, что эксплуатация возможна удалённо, без необходимости физического доступа к серверу или предварительной аутентификации в некоторых сценариях. Эксплойт уже раскрыт публично, что существенно повышает риск практического использования уязвимости. Наличие публичного PoC снижает порог входа для злоумышленников и увеличивает вероятность массовых сканирований уязвимых систем. CVE-2026-105187 получила оценку CVSS 5.3, что соответствует средней степени критичности. Такой балл отражает умеренное влияние на конфиденциальность, целостность и доступность данных: успешная эксплуатация может привести к несанкционированному чтению содержимого базы данных, изменению записей или нарушению логики работы приложения. Следует учитывать, что реальный ущерб зависит от привилегий учётной записи, под которой выполняется СУБД, и от архитектуры конкретного развёртывания.Что делать
На момент публикации сведений об официальном патче от производителя нет. Рекомендуется следующий комплекс мер: - Проверить, используется ли в вашей инфраструктуре itsourcecode Online Admission System 1.0, и оценить, доступен ли файл /admin/key.php из внешней сети. - Ограничить доступ к административному разделу /admin/ средствами веб-сервера: настроить IP-фильтрацию, базовую аутентификацию или перенести интерфейс во внутренний сегмент сети. - Внедрить WAF с правилами фильтрации SQL-инъекций для блокировки подозрительных запросов к уязвимому эндпоинту. - Проверить журналы веб-сервера и СУБД на предмет аномальных запросов к key.php — это поможет выявить попытки эксплуатации. - Рассмотреть переход на поддерживаемую альтернативу либо временную доработку кода: использование параметризованных запросов и строгая валидация аргумента ID. - Следить за обновлениями от разработчика и установить патч сразу после его выпуска. Итог: уязвимость средней критичности с публично доступным эксплойтом требует оперативной реакции. Наиболее быстрый способ снизить риск — закрыть административный интерфейс от внешнего доступа и включить фильтрацию на уровне WAF до выхода официального исправления.Источник: CVE Project (cvelistV5)