SQL-инъекция в Online-Examination-System — CVE-2026-111992

В проекте itsmeravitejak Online-Examination-System выявлена уязвимость, связанная с недостаточной обработкой пользовательского ввода. Проблема получила идентификатор CVE-2026-111992 и оценку CVSS 5.3 (MEDIUM). На момент публикации эксплойт уже доступен публично, что повышает риск практического использования.

Подробности

Уязвимость затрагивает компонент Exam Module — функцию Exam::startExam в файле exam.php. При манипуляции аргументом topicid возникает SQL-инъекция: несанитизированные данные попадают в SQL-запрос, что позволяет атакующему вмешиваться в логику обращения к базе данных.

Атака может быть выполнена удалённо, без необходимости локального доступа к системе. Уязвимость присутствует в версиях Online-Examination-System вплоть до коммита e6208e630b14657999bbfe4c9912302d2a1e2449. Продукт использует модель rolling release, поэтому точные номера затронутых и исправленных версий недоступны.

Разработчик был заблаговременно уведомлён о проблеме через issue-репорт, однако ответа на текущий момент не последовало. Публичное раскрытие эксплойта в сочетании с отсутствием патча делает уязвимость практически значимой для всех инсталляций проекта.

Что делать

Официального обновления от сопровождающих проекта пока нет, поэтому рекомендуется применять компенсирующие меры:

• Ограничить сетевой доступ к exam.php и компоненту Exam Module — по возможности закрыть его от недоверенных сетей.
• Внедрить строгую валидацию и приведение типов для параметра topicid на уровне веб-сервера или WAF (правила против SQL-инъекций).
• Использовать параметризованные запросы при доработке кода Exam::startExam, если есть возможность самостоятельного патча.
• Отслеживать обновления репозитория проекта и оперативно устанавливать исправление после его появления.
• Провести проверку журналов на предмет подозрительных запросов к exam.php с аномальными значениями topicid.

Уязвимость CVE-2026-111992 относится к классу SQL-инъекций и представляет угрозу целостности и конфиденциальности данных в системах онлайн-экзаменации. Отсутствие реакции разработчика и публичный эксплойт требуют от владельцев инсталляций повышенного внимания: до выхода официального патча стоит полагаться на сетевые ограничения и фильтрацию ввода. Рекомендуется держать систему под наблюдением и минимизировать поверхность атаки.

Источник: CVE Project (cvelistV5)