SQL-инъекция в krupalshah EmployeeRecruitmentSystem (CVE-2026-108806)
В krupalshah EmployeeRecruitmentSystem обнаружена SQL-инъекция в обработчике восстановления пароля (source/authprocessing.php). Уязвимость затрагивает функцию mysql_query и параметр fpemail, эксплуатация возможна удалённо, эксплойт уже опубликован. Оценка CVSS — 6.9 (MEDIUM), продукт более не поддерживается разработчиком.
Подробности
Уязвимость локализована в функции mysql_query файла source/authprocessing.php и относится к компоненту Forgot Password Handler. Причиной становится недостаточная обработка аргумента fpemail: злоумышленник может передать специально сформированное значение, которое изменит логику SQL-запроса. Это классический сценарий SQL-инъекции (CWE-89), возникающий при конкатенации пользовательского ввода в запрос без параметризации. Атака может быть проведена удалённо и не требует аутентификации или локального доступа к системе. Эксплойт уже раскрыт публично, что повышает риск его практического использования. Уязвимость затрагивает krupalshah EmployeeRecruitmentSystem вплоть до коммита 922ff6d208278282e7c8e36d70d9ae356adec9fe. Продукт не использует версионирование, поэтому точный перечень уязвимых и неуязвимых релизов недоступен. CVSS-оценка составляет 6.9, что соответствует среднему уровню критичности. Важным обстоятельством является статус поддержки продукта: согласно записи CVE, уязвимость затрагивает только продукты, более не поддерживаемые мейнтейнером. Разработчик был уведомлён об уязвимости на раннем этапе, но не ответил.Что делать
Поскольку официальное обновление от вендора отсутствует, а сам продукт не поддерживается, стандартный путь «установить патч» здесь неприменим. Рекомендуется рассмотреть следующие меры: - Оценить необходимость дальнейшей эксплуатации krupalshah EmployeeRecruitmentSystem. Если система не поддерживается разработчиком, оптимальным решением будет миграция на поддерживаемое решение. - При сохранении системы — изолировать её от публичного интернета, ограничив доступ доверенными сетями. - Внедрить фильтрацию и валидацию входных данных на уровне reverse proxy или WAF, заблокировав подозрительные конструкции в параметрах формы восстановления пароля. - Ограничить права учётной записи базы данных, используемой приложением, чтобы снизить потенциальный ущерб от успешной инъекции. - Провести аудит журналов на предмет попыток эксплуатации, поскольку эксплойт находится в открытом доступе. Итог: CVE-2026-108806 — показательный пример рисков, связанных с неподдерживаемым ПО. Уязвимость требует небольших усилий для эксплуатации, а публичное раскрытие эксплойта делает её актуальной угрозой. Ключевая рекомендация — отказаться от дальнейшего использования продукта или, при невозможности, максимально ограничить его сетевую доступность и внедрить компенсирующие меры защиты.Источник: CVE Project (cvelistV5)