SQL-инъекция в updateresultdetails.php CloudClassroom-PHP-Project (CVE-2026-101013)
В CloudClassroom-PHP-Project обнаружена уязвимость SQL-инъекции в файле updateresultdetails.php — через параметр editid злоумышленник может удалённо внедрять SQL-код. Уровень опасности — средний (CVSS 6.9). Публичный эксплойт уже раскрыт, а производитель не отвечает на обращения, что делает уязвимость особенно актуальной для всех, кто использует этот проект.
Подробности
Уязвимость зарегистрирована под идентификатором CVE-2026-101013 и получила оценку CVSS 6.9, что соответствует среднему уровню опасности. Согласно описанию, проблема затрагивает проект mathurvishal CloudClassroom-PHP-Project вплоть до коммита 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Уязвимая функция находится в файле updateresultdetails.php: при передаче специально сформированного значения в аргумент editid происходит внедрение SQL-кода. Атака может быть выполнена удалённо, без необходимости локального доступа к системе. Особую тревогу вызывает тот факт, что эксплойт для данной уязвимости уже раскрыт публично и может быть использован злоумышленниками. Кроме того, проект не использует нумерацию версий, поэтому определить конкретные уязвимые и безопасные релизы невозможно — это существенно затрудняет оценку масштаба проблемы для организаций и образовательных учреждений, применяющих данный продукт. Разработчику было направлено уведомление об уязвимости на раннем этапе раскрытия, однако вендор не ответил ни на одно обращение. Это означает, что официальный патч на момент публикации отсутствует, а ответственность за защиту инфраструктуры полностью ложится на плечи администраторов.Что делать
Поскольку официальное обновление от разработчика недоступно, следует применить комплекс компенсирующих мер:- Ограничить сетевой доступ к файлу updateresultdetails.php и другим административным сценариям — например, закрыть их на уровне веб-сервера или WAF, разрешив обращения только с доверенных IP-адресов.
- Внедрить проверку и строгую валидацию входных параметров, в первую очередь editid, приведя их к ожидаемому типу (целое число) и используя подготовленные выражения (prepared statements) вместо конкатенации SQL-запросов.
- Провести аудит веб-приложения на предмет других точек, где пользовательский ввод попадает в SQL-запросы без должной очистки.
- Внимательно отслеживать обновления репозитория проекта — в случае появления исправления немедленно его применить.
- При отсутствии возможности безопасной эксплуатации рассмотреть замену продукта на поддерживаемую альтернативу.
Источник: CVE Project (cvelistV5)