SQL-инъекция в Online-Examination-System (CVE-2026-111872)
В itsmeravitejak Online-Examination-System выявлена уязвимость SQL-инъекции (CVE-2026-111872) с оценкой CVSS 6.9. Проблема затрагивает функции работы с базой данных в results.php и include/database.php и позволяет удалённо манипулировать SQL-запросами через параметры id, user и topic. Эксплойт уже опубликован, а разработчик не ответил на уведомление об уязвимости.
Подробности
Уязвимость затрагивает код вплоть до коммита e6208e630b14657999bbfe4c9912302d2a1e2449. Проблема локализована в файле results.php и include/database.php и связана с работой функций MySQLDB::valid, MySQLDB::getresults, MySQLDB::noresults, MySQLDB::getExams, MySQLDB::latestExamID и MySQLDB::getreport. При передаче специально сформированных значений в аргументы id, user или topic злоумышленник может внедрить произвольный SQL-код в запрос к базе данных. Атака может быть проведена удалённо, без необходимости локального доступа к системе. Уязвимости присвоена оценка CVSS 6.9 (MEDIUM). Эксплойт уже раскрыт публично и может быть использован злоумышленниками. Поскольку продукт распространяется по модели rolling release с непрерывными обновлениями, конкретные номера уязвимых и исправленных версий не указаны. Разработчик был уведомлён о проблеме через issue-репорт, однако на момент публикации записи ответа не последовало.Что делать
Официального патча на текущий момент нет, поэтому рекомендуется принять компенсирующие меры. В первую очередь следует проверить, используется ли Online-Examination-System в инфраструктуре, и по возможности ограничить сетевой доступ к приложению — например, разместить его за VPN или разрешить подключения только из доверенных подсетей. Необходимо организовать строгую валидацию и параметризацию всех входных данных, поступающих в функции MySQLDB, а также проверить журналы веб-сервера и базы данных на предмет подозрительных запросов. Дополнительно стоит отслеживать состояние репозитория проекта на предмет появления исправления и оперативно обновляться, как только оно будет выпущено. В качестве общей практики рекомендуется использовать веб-приложения с минимальными привилегиями учётной записи базы данных. Итог: CVE-2026-111872 — умеренно опасная SQL-инъекция с публично доступным эксплойтом и отсутствием официального исправления. Организациям, использующим Online-Examination-System, следует незамедлительно применить митигации и усилить мониторинг активности приложения.Источник: CVE Project (cvelistV5)