SQL-инъекция в SourceCodester Online Faculty Clearance System (CVE-2026-90876)
В SourceCodester Online Faculty Clearance System 1.0 обнаружена уязвимость SQL-инъекции в файле /delete_requirement.php. Манипулирование аргументом ID позволяет удалённо выполнить произвольный SQL-код. Оценка CVSS — 6.9 (MEDIUM), эксплойт уже опубликован.
Подробности
Уязвимости подвержена версия SourceCodester Online Faculty Clearance System 1.0. Согласно описанию CVE-2026-90876, уязвимой является неуточнённая функциональность файла /delete_requirement.php: при передаче специально сформированного значения в аргумент ID происходит внедрение SQL-кода. Поскольку приложение не выполняет должной валидации и параметризации входных данных, злоумышленник может манипулировать SQL-запросами, выполняемыми на стороне сервера. Оценка по шкале CVSS составляет 6.9 балла (MEDIUM). Атака может быть инициирована удалённо, что повышает уровень риска: для эксплуатации не требуется физический доступ к системе или локальная учётная запись. На момент публикации записи CVE эксплойт уже был раскрыт публично и может быть использован злоумышленниками. Следует учитывать, что подобные уязвимости в системах управления учебными процессами создают риск компрометации данных преподавателей и студентов, а также нарушения целостности записей о допусках и согласованиях. В зависимости от конфигурации СУБД и прав учётной записи приложения злоумышленник потенциально может читать, изменять или удалять данные из базы.Что делать
На текущий момент информация об официальном исправлении в записи CVE не приводится. Рекомендуется следующий комплекс мер: - Проверить, используется ли в вашей организации SourceCodester Online Faculty Clearance System 1.0, и по возможности ограничить доступ к приложению из недоверенных сетей. - Связаться с вендором SourceCodester для уточнения статуса выпуска патча и запросить официальное обновление. - До выхода исправления применить компенсирующие меры: развернуть WAF с правилами фильтрации SQL-инъекций, ограничить права учётной записи базы данных, используемой приложением, до минимально необходимых. - Провести проверку журналов веб-сервера и СУБД на предмет подозрительных запросов к /delete_requirement.php. - При невозможности обновления рассмотреть замену компонента или изоляцию системы от внешних сетей. Также важно ограничить доступ к административным и служебным скриптам по IP-адресам доверенных пользователей и включить многофакторную аутентификацию там, где это поддерживается. Итог: CVE-2026-90876 — умеренно критичная SQL-инъекция в SourceCodester Online Faculty Clearance System 1.0 с публично доступным эксплойтом. До выпуска официального патча организациям следует сосредоточиться на сетевой изоляции, фильтрации входных данных на уровне WAF и контроле прав доступа к базе данных.Источник: CVE Project (cvelistV5)