SQL-инъекция в SourceCodester Online Reviewer Management System (CVE-2026-102910)
В начале 2026 года в открытой системе управления онлайн-экзаменами SourceCodester Online Reviewer Management System была выявлена опасная уязвимость, получившая идентификатор CVE-2026-102910. Проблема затрагивает компонент, отвечающий за удаление тестов, и позволяет злоумышленнику вмешиваться в SQL-запросы, выполняемые приложением.
Подробности
Уязвимость затрагивает SourceCodester Online Reviewer Management System версии 1.0. Проблемный участок кода находится в файле /reviewer_0/admins/assessments/examproper/exam-delete.php. При обработке параметра test_id приложение не выполняет должную проверку и экранирование пользовательских данных, что приводит к классической SQL-инъекции (CWE-89).
Поскольку параметр передаётся через HTTP-запрос, эксплуатация возможна удалённо, без необходимости физического доступа или аутентификации в некоторых сценариях конфигурации. Уязвимости присвоен базовый балл CVSS 6.9, что соответствует среднему уровню критичности. Важно отметить, что эксплойт уже опубликован в открытом доступе, поэтому риск практических атак значительно возрастает — злоумышленникам не требуется разрабатывать собственные методы эксплуатации.
Успешная SQL-инъекция может позволить атакующему читать, изменять или удалять данные из базы, обходить аутентификацию и в отдельных случаях выполнять команды на сервере. Для образовательных учреждений и организаций, использующих данную систему для проведения онлайн-экзаменов, это создаёт прямую угрозу целостности и конфиденциальности результатов тестирования и персональных данных пользователей.
Что делать
На момент публикации официальный патч от разработчика не выпущен. Рекомендуется принять следующие меры:
- Ограничить сетевой доступ к административному интерфейсу системы (каталог
/reviewer_0/admins/) средствами межсетевого экрана или веб-сервера, оставив его доступным только из доверенных подсетей. - Внедрить WAF (Web Application Firewall) с правилами фильтрации SQL-инъекций и сигнатурами для параметра
test_id. - Провести ручной аудит кода обработчиков, принимающих параметры от пользователя, и добавить параметризованные запросы (prepared statements) вместо конкатенации строк.
- Временно отключить или удалить файл
exam-delete.php, если его функциональность не является критичной для текущих задач. - Регулярно проверять сайт проекта SourceCodester на предмет выхода обновления и установить его сразу после публикации.
Дополнительно стоит пересмотреть права учётных записей базы данных, используемых приложением: принцип наименьших привилегий снизит ущерб в случае успешной эксплуатации.
Уязвимость CVE-2026-102910 — наглядный пример того, как даже небольшие open-source решения для управления учебным процессом могут становиться точкой входа для атак. Наличие публичного эксплойта и отсутствие официального патча требуют от администраторов оперативных компенсирующих мер. Рекомендуется рассматривать систему как потенциально скомпрометированную до момента выхода исправлений и провести проверку журналов на предмет подозрительных запросов к exam-delete.php.
Источник: CVE Project (cvelistV5)