SQL-инъекция в SourceCodester Online Faculty Clearance System (CVE-2026-90877)
В SourceCodester Online Faculty Clearance System 1.0 обнаружена уязвимость SQL-инъекции в файле update_requirement_status.php. Атака возможна удалённо, эксплойт уже опубликован. Уровень опасности — средний (CVSS 6.9).
Подробности
Уязвимости подвержена версия SourceCodester Online Faculty Clearance System 1.0. Причиной стало некорректная обработка аргумента haydi в файле /update_requirement_status.php — при передаче специально сформированных данных злоумышленник может внедрить произвольные SQL-конструкции в запрос к базе данных. Это позволяет читать, изменять или удалять содержимое БД, а в ряде конфигураций — выполнять административные операции на сервере. Согласно оценке CVSS, уязвимости присвоен базовый балл 6.9, что соответствует среднему уровню критичности. Атака может быть проведена удалённо (вектор сетевой), без необходимости аутентификации в некоторых сценариях, что делает её особенно опасной для систем, доступных из интернета. На момент публикации CVE эксплойт уже раскрыт публично, что подтверждает реальную возможность эксплуатации. Официальная информация о выпуске патча от производителя отсутствует.Что делать
Поскольку сведения о выпуске исправления пока не подтверждены, рекомендуется принять следующие меры: - Проверить, используется ли в инфраструктуре SourceCodester Online Faculty Clearance System 1.0, и по возможности ограничить к нему сетевой доступ. - Отключить или закрыть скрипт /update_requirement_status.php, если он не является критически необходимым для бизнес-процессов. - Внедрить фильтрацию и валидацию всех входных параметров, использовать подготовленные выражения (prepared statements) при работе с SQL. - Разместить приложение за WAF с правилами, блокирующими типовые SQL-инъекции. - Регулярно отслеживать обновления от SourceCodester и установить патч сразу после его появления. Дополнительно стоит провести аудит журналов веб-сервера и СУБД на предмет подозрительных запросов к update_requirement_status.php, а также проверить целостность данных в базе. Итог: уязвимость CVE-2026-90877 представляет реальную угрозу для организаций, использующих указанную версию системы. Учитывая наличие публичного эксплойта, медлить с митигациями не стоит — изоляция компонента и валидация ввода помогут снизить риск до выпуска официального обновления.Источник: CVE Project (cvelistV5)