„`html
Zusammenfassung
In SourceCodester Class and Exam Timetabling System Version 1.0 wurde eine SQL-Injection-Anfälligkeit identifiziert. Die Sicherheitslücke ermöglicht es Angreifern, über die Datei /index2.php und das Password-Feld unbefugte Datenbankoperationen durchzuführen. Die Schwachstelle weist einen CVSS-Score von 7.3 (High) auf und kann aus der Ferne ausgenutzt werden. Ein funktionierender Exploit ist bereits öffentlich verfügbar.
Betroffene Systeme
Alle Installationen von SourceCodester Class and Exam Timetabling System Version 1.0 sind anfällig. Das System wird häufig in Bildungseinrichtungen für die Verwaltung von Klassen und Prüfungsstundenplänen eingesetzt. Betroffene Organisationen sollten ihre Systeme umgehend überprüfen.
Technische Details
Die Schwachstelle befindet sich in der Datei /index2.php, wo das Password-Parametereingabefeld nicht korrekt validiert wird. Dies ermöglicht SQL-Injection-Angriffe, bei denen Angreifer beliebige SQL-Befehle einschleusen können. Der Angriffsvektor ist netzwerkbasiert (Network), was bedeutet, dass keine Authentifizierung erforderlich ist. Angreifer können Datenbankeinträge auslesen, manipulieren oder löschen.
Empfohlene Massnahmen
- Sofortmassnahmen: Implementierung einer Web Application Firewall (WAF) zur Filterung verdächtiger SQL-Befehle
- Input-Validierung: ĂśberprĂĽfung aller Benutzereingaben durch Whitelisting und Escape-Funktionen
- Datenbankschutz: Minimale Berechtigungen fĂĽr Datenbankbenutzer vergeben
- Systemupdate: Regelmässige Überprüfung auf verfügbare Sicherheits-Patches
- Monitoring: Verstärkte Überwachung verdächtiger Datenbankzugriffe
- Backup: Regelmässige Datensicherungen durchführen
Bewertung
CVSS 7.3 (High) – Diese Bewertung spiegelt das hohe Risiko wider. Die öffentliche Verfügbarkeit des Exploits erhöht die Wahrscheinlichkeit eines Missbrauchs erheblich. Da kein Patch vorliegt, sind alternative Schutzmaßnahmen erforderlich. Organisationen sollten diese Sicherheitslücke als kritisch einstufen und Massnahmen sofort einleiten.
„`