SQL-инъекция в Online-Examination-System (CVE-2026-111871)

В проекте itsmeravitejak Online-Examination-System выявлена уязвимость, позволяющая проводить SQL-инъекции. Проблема затрагивает обработку пользовательского ввода в одном из файлов базы данных системы онлайн-экзаменов, и на момент публикации исправление отсутствует.

Подробности

Уязвимость CVE-2026-111871 затрагивает itsmeravitejak Online-Examination-System вплоть до коммита e6208e630b14657999bbfe4c9912302d2a1e2449. Проблемный элемент — неизвестная функция в файле qsdb/usersdb/brandb/topicsdb/subjectsdb.php. При манипуляции аргументами query, qtype, sortname и sortorder возникает SQL-инъекция, что позволяет злоумышленнику вмешиваться в SQL-запросы к базе данных.

Атака может быть выполнена удалённо, без необходимости локального доступа к системе. Эксплойт уже стал общедоступным, поэтому риск его практического использования повышен. Уровень опасности по CVSS — 6.9 (MEDIUM).

Важно учитывать, что продукт не использует версионирование: однозначно определить затронутые и незатронутые релизы невозможно. Разработчик был заранее уведомлён о проблеме через отчёт об инциденте (issue), однако ответа на момент публикации записи CVE не последовало.

Что делать

Поскольку официальное обновление на момент публикации отсутствует, рекомендуются компенсирующие меры:

• Ограничить сетевой доступ к компонентам системы (в частности, к qsdb/usersdb/brandb/topicsdb/subjectsdb.php) — не выставлять их в публичный интернет без необходимости.
• Разместить систему за WAF или обратным прокси с правилами фильтрации SQL-инъекций и подозрительных параметров запроса.
• Провести валидацию и параметризацию входных данных (query, qtype, sortname, sortorder) на уровне кода, если есть возможность самостоятельного патча.
• Ограничить права учётной записи СУБД, используемой приложением, до минимально необходимых.
• Отслеживать обновления проекта и оперативно установить исправление, когда оно появится; при отсутствии поддержки рассмотреть переход на альтернативное решение.

Уязвимость SQL-инъекции в Online-Examination-System остаётся неисправленной, а публичная доступность эксплойта повышает вероятность атак. Организациям, использующим данную систему, следует как можно быстрее применить компенсирующие меры и по возможности ограничить доступ к уязвимому компоненту.

Источник: CVE Project (cvelistV5)