SQL-инъекция в updateguest.php проекта CloudClassroom-PHP-Project (CVE-2026-100312)
В проекте mathurvishal CloudClassroom-PHP-Project обнаружена уязвимость SQL-инъекции в файле /updateguest.php. Атака возможна удалённо, эксплойт уже опубликован, а производитель не ответил на уведомление. Оценка CVSS — 5.3 (MEDIUM).
Подробности
Уязвимость получила идентификатор CVE-2026-100312. Затронут продукт mathurvishal CloudClassroom-PHP-Project вплоть до коммита 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Уязвимым является обработчик файла /updateguest.php: при передаче специально сформированных значений в аргументы gname и editassid (точное имя параметра неоднозначно) происходит SQL-инъекция. Тип уязвимости — SQL Injection (CWE-89 в терминах класса проблем), базовая оценка CVSS 5.3 (MEDIUM). Атака может быть проведена удалённо, без необходимости локального доступа к системе. Эксплойт был опубликован публично, что повышает риск практического использования. Проект распространяется по модели rolling release с непрерывной поставкой, поэтому конкретные номера затронутых и исправленных версий не указаны. Производитель был заблаговременно уведомлён о проблеме, но не ответил.Что делать
Поскольку вендор не отреагировал и официальных версий с исправлением нет, рекомендуется принять компенсирующие меры: - Проверить, используется ли CloudClassroom-PHP-Project в вашей инфраструктуре, и оценить необходимость его дальнейшей эксплуатации. - Ограничить сетевой доступ к файлу /updateguest.php (например, на уровне веб-сервера или WAF), если функциональность не требуется публично. - Внедрить фильтрацию и параметризацию входных данных: использовать подготовленные выражения (prepared statements) вместо конкатенации SQL-запросов. - Провести аудит журналов веб-сервера и базы данных на предмет подозрительных запросов к /updateguest.php. - Рассмотреть переход на поддерживаемую альтернативу или самостоятельно пропатчить код, если проект критичен для бизнеса. Итог: уязвимость SQL-инъекции средней критичности с публичным эксплойтом и без официального исправления требует оперативной реакции со стороны организаций, использующих этот проект. Приоритет — ограничить доступ к уязвимому скрипту и закрыть возможность инъекций на уровне кода или WAF.Источник: CVE Project (cvelistV5)