SQL-инъекция в SourceCodester Car Driving School Management System (CVE-2026-102913)

В системе управления автошколой SourceCodester Car Driving School Management System выявлена уязвимость, позволяющая проводить SQL-инъекции. Проблема затрагивает функцию сохранения записи на обучение, а публичный эксплойт делает её реальной угрозой для организаций, использующих это приложение.

Подробности

Уязвимость получила идентификатор CVE-2026-102913 и оценку 6.9 по шкале CVSS (средний уровень). Затронут продукт SourceCodester Car Driving School Management System версии 1.0.

Проблема локализована в неизвестной функции файла /classes/Master.php?f=save_enrollment. При обработке пользовательского ввода не выполняется достаточная фильтрация, что позволяет злоумышленнику внедрять произвольные SQL-конструкции в запросы к базе данных.

Поскольку параметр f=save_enrollment доступен через веб-интерфейс, эксплуатация возможна удалённо без предварительной аутентификации в некоторых сценариях. Через SQL-инъекцию атакующий может читать, изменять или удалять данные в базе, а в зависимости от конфигурации СУБД — получить доступ к другим таблицам и потенциально расширить влияние на сервер.

Особую тревогу вызывает тот факт, что эксплойт для данной уязвимости уже опубликован в открытых источниках. Это снижает порог входа для атакующих и повышает вероятность массовых сканирований и попыток компрометации уязвимых экземпляров.

Что делать

На момент публикации официальный патч от производителя может отсутствовать. Рекомендуется принять следующие меры:

• Проверить, используется ли SourceCodester Car Driving School Management System 1.0 в вашей инфраструктуре, и по возможности отказаться от него или ограничить его доступность из интернета.
• Ограничить доступ к файлу /classes/Master.php на уровне веб-сервера: разрешить обращения только с доверенных IP-адресов или из внутренней сети.
• Внедрить WAF с правилами для блокировки типовых SQL-инъекций в параметрах запросов.
• Следить за обновлениями от SourceCodester и установить исправление сразу после его выпуска.
• Провести аудит журналов веб-сервера и БД на предмет подозрительных запросов к Master.php?f=save_enrollment.

Уязвимость CVE-2026-102913 относится к распространённому классу ошибок, которые возникают из-за отсутствия параметризованных запросов. Для разработчиков это напоминание о необходимости использовать подготовленные выражения (prepared statements) и строго валидировать весь вводимый пользователем контент. Для владельцев систем на базе SourceCodester Car Driving School Management System 1.0 актуальна срочная проверка конфигурации и изоляция приложения до выхода патча.

Источник: CVE Project (cvelistV5)