SQL-инъекция в itsourcecode Online Admission System (CVE-2026-105253)
В itsourcecode Online Admission System Project 1.0 обнаружена уязвимость SQL-инъекции в файле /admin/login1.php. Атака возможна удалённо и не требует аутентификации, а эксплойт уже опубликован публично. Присвоен средний уровень критичности — CVSS 6.9.
Подробности
Уязвимость классифицируется как SQL-инъекция (CWE-89) и локализована в файле /admin/login1.php. Причиной стало отсутствие должной проверки и экранирования аргумента User, который передаётся в SQL-запрос без параметризации. Злоумышленник может манипулировать этим аргументом, внедряя произвольные фрагменты SQL-кода. Согласно описанию, атака может быть инициирована удалённо — для этого достаточно отправить специально сформированный запрос на страницу авторизации администратора. Предварительная аутентификация не требуется, поскольку уязвимый код обрабатывается до её прохождения. Уязвимости присвоен базовый балл CVSS 6.9, что соответствует среднему уровню критичности. Отдельного внимания заслуживает тот факт, что эксплойт для данной уязвимости уже раскрыт публично. Это существенно повышает риск реального использования: злоумышленникам не нужно проводить самостоятельные исследования — достаточно воспользоваться доступными наработками. Кроме того, в записи CVE указана версия продукта 1.0, и нет сведений о наличии исправленной сборки. Последствия успешной эксплуатации могут включать несанкционированный доступ к базе данных, чтение или изменение учётных записей, а также обход механизма аутентификации административной панели. В зависимости от конфигурации СУБД и прав учётной записи приложения возможны более серьёзные последствия, вплоть до полной компрометации данных абитуриентов.Что делать
На момент публикации официальный патч для CVE-2026-105253 не подтверждён. Рекомендуется следующий комплекс мер: - Проверить, используется ли в инфраструктуре itsourcecode Online Admission System Project 1.0, и по возможности отказаться от эксплуатации уязвимой версии. - Обратиться к вендору за сведениями об обновлении и отслеживать выход исправленной сборки. - До появления патча ограничить сетевой доступ к каталогу /admin/ — в частности, к файлу login1.php — средствами межсетевого экрана, обратного прокси или правил веб-сервера. - Внедрить сигнатуры WAF для выявления типовых шаблонов SQL-инъекций в параметрах запросов к административной панели. - Провести проверку журналов веб-сервера и СУБД на предмет подозрительных обращений к /admin/login1.php, а также аудит учётных записей администраторов на предмет несанкционированных изменений. - В перспективе — заменить компонент на поддерживаемое решение либо доработать код с использованием параметризованных запросов и строгой валидации входных данных. Итог: CVE-2026-105253 — удалённая SQL-инъекция среднего уровня опасности в административной панели itsourcecode Online Admission System Project 1.0. Публичное раскрытие эксплойта и отсутствие подтверждённого патча делают приоритетными организационные и сетевые митигации: ограничение доступа к уязвимому скрипту и мониторинг аномальной активности.Источник: CVE Project (cvelistV5)