SQL-инъекция в krupalshah EmployeeRecruitmentSystem (CVE-2026-116048)
В открытом репозитории krupalshah EmployeeRecruitmentSystem выявлена уязвимость SQL-инъекции, затрагивающая механизм регистрации пользователей. Проблеме присвоен идентификатор CVE-2026-116048, её оценка по шкале CVSS составляет 6.9 (MEDIUM).
Подробности
Уязвимость затрагивает продукт krupalshah EmployeeRecruitmentSystem вплоть до коммита 922ff6d208278282e7c8e36d70d9ae356adec9fe. Проблема локализована в функции mysql_query файла /source/registerform1.php, относящегося к компоненту Registration. При манипуляции аргументами firstname, middlename, lastname, gender, birthdate, state, statespecify, city и cityspecify возникает SQL-инъекция: пользовательские данные попадают в SQL-запрос без должной обработки.
Атаку можно провести удалённо, а эксплойт уже находится в открытом доступе и может быть использован злоумышленниками. Поскольку проект распространяется по модели rolling release, конкретные номера затронутых и исправленных версий не указаны. Производитель был заблаговременно уведомлён об уязвимости, но не ответил, и продукт более не поддерживается мейнтейнером.
Что делать
Официального патча от производителя нет, поэтому рекомендуются компенсирующие меры:
- Ограничить сетевой доступ к
/source/registerform1.phpи к интерфейсу регистрации в целом, если приложение не используется; - Рассмотреть отказ от эксплуатации неподдерживаемого продукта или перенос функциональности на поддерживаемую платформу;
- При невозможности замены — внедрить фильтрацию и валидацию всех входных параметров формы регистрации, а также применять параметризованные запросы при доработке кода;
- Разместить приложение за WAF с правилами против SQL-инъекций и включить журналирование запросов к форме регистрации;
- Проверить журналы веб-сервера и СУБД на предмет подозрительной активности, так как эксплойт публично доступен.
Уязвимость CVE-2026-116048 опасна прежде всего тем, что исправления не будет: продукт снят с поддержки, а рабочий эксплойт уже опубликован. Организациям, использующим krupalshah EmployeeRecruitmentSystem, следует как можно быстрее ограничить доступ к уязвимому компоненту регистрации или заменить решение.
Источник: CVE Project (cvelistV5)