SQL-инъекция в mathurvishal CloudClassroom-PHP-Project (CVE-2026-100314)
В mathurvishal CloudClassroom-PHP-Project обнаружена уязвимость SQL-инъекции в файле updatedetailsfromstudent.php. Атака возможна удалённо и не требует аутентификации, эксплойт уже опубликован публично. Уязвимости присвоен уровень MEDIUM (CVSS 6.9).
Подробности
Уязвимость затрагивает mathurvishal CloudClassroom-PHP-Project — веб-приложение для организации учебного процесса на PHP. Уязвимой является функция обработки запроса в файле updatedetailsfromstudent.php: при передаче специально сформированного значения в аргумент eno приложение не выполняет должной валидации и санитизации ввода, что позволяет внедрить произвольный SQL-код. Согласно описанию, эксплуатация возможна удалённо (AV:N) и не требует привилегий или взаимодействия с пользователем — это делает вектор атаки особенно удобным для злоумышленников. Базовый балл CVSS составляет 6.9, что соответствует уровню MEDIUM. Отдельно отмечается, что эксплойт уже раскрыт публично и может быть использован атакующими. Проект распространяется по модели непрерывных релизов (rolling releases), поэтому конкретные номера уязвимых и исправленных версий не указаны — проверка актуальности сборки затруднена. Разработчик был уведомлён об уязвимости заранее, но, по данным источника, не ответил на обращение, что означает отсутствие подтверждённого патча на момент публикации.Что делать
Официального исправления от вендора нет, поэтому рекомендуется принять компенсирующие меры: - Ограничить сетевой доступ к приложению: разместить его только во внутреннем сегменте или за VPN, закрыть публичный доступ к updatedetailsfromstudent.php. - Развернуть WAF/IPS с правилами для сигнатур SQL-инъекций и фильтрацией подозрительных значений параметра eno. - Провести ручной аудит кода: заменить конкатенацию строк в SQL-запросах на подготовленные выражения (prepared statements) с параметризацией, добавить строгую валидацию входных данных. - Проверить журналы веб-сервера и БД на предмет аномальных запросов, указывающих на попытки эксплуатации. - Рассмотреть переход на поддерживаемую альтернативу, если проект не развивается и патчи не выпускаются.Итог
CVE-2026-100314 — показательный пример рисков, связанных с неподдерживаемыми open-source решениями: публичный эксплойт, отсутствие ответа вендора и невозможность однозначно определить уязвимые версии. Если CloudClassroom-PHP-Project используется в вашей инфраструктуре, следует немедленно изолировать приложение и провести проверку на компрометацию.Источник: CVE Project (cvelistV5)