Уязвимость SQL-инъекции в mathurvishal CloudClassroom-PHP-Project (CVE-2026-100874)

В открытом проекте mathurvishal CloudClassroom-PHP-Project выявлена уязвимость, получившая идентификатор CVE-2026-100874. Проблема затрагивает обработку данных в файле addnewstudent.php и относится к классу SQL-инъекций. Поскольку проект распространяется по модели rolling release, точные номера уязвимых и исправленных версий не указаны.

Подробности

Уязвимость затрагивает проект mathurvishal CloudClassroom-PHP-Project вплоть до коммита 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Проблема находится в неизвестной функции файла addnewstudent.php. Манипулируя входными данными, злоумышленник может внедрить произвольный SQL-код и выполнить его в базе данных приложения.

Согласно описанию, атака может быть инициирована удалённо, то есть не требует физического или локального доступа к системе. Опубликован рабочий эксплойт, что повышает риск практического использования уязвимости. Производителю было направлено предварительное уведомление о раскрытии, однако он не ответил. Уязвимости присвоена базовая оценка CVSS 6.9, что соответствует среднему уровню критичности.

Следует учитывать, что CloudClassroom-PHP-Project — это учебный проект на PHP, часто разворачиваемый в образовательных и тестовых средах. Даже при невысокой критичности уязвимость позволяет получить несанкционированный доступ к данным или повлиять на работу приложения, если оно доступно из сети.

Что делать

Официальное исправление на момент публикации отсутствует, поскольку производитель не отреагировал на уведомление, а модель rolling release не позволяет указать конкретную версию с патчем. В качестве мер рекомендуется:

• ограничить сетевой доступ к приложению, если оно не должно быть общедоступным, — например, разместить его только во внутренней сети или за VPN;
• проверить код addnewstudent.php и другие обработчики пользовательского ввода на предмет использования подготовленных выражений (prepared statements) вместо конкатенации SQL-запросов;
• применить принцип минимальных привилегий для учётной записи базы данных, используемой приложением;
• внедрить фильтрацию и валидацию входных данных на стороне сервера;
• настроить веб-application firewall (WAF) для блокировки типовых шаблонов SQL-инъекций;
• отслеживать обновления репозитория проекта и при появлении исправления незамедлительно его установить.

Если приложение не используется в продуктивной среде, оптимальным решением будет его отключение до выпуска патча.

Уязвимость CVE-2026-100874 в mathurvishal CloudClassroom-PHP-Project демонстрирует классический риск SQL-инъекции в учебных PHP-проектах, которые нередко оказываются доступны в интернете. Отсутствие реакции производителя и наличие публичного эксплойта делают митигации на стороне инфраструктуры основным способом защиты. Организациям, использующим данный проект, следует как можно скорее ограничить его доступность и проверить код на наличие аналогичных проблем.

Источник: CVE Project (cvelistV5)