„`html
Zusammenfassung
Eine SQL-Injection-Anfälligkeit wurde in SourceCodester Class and Exam Timetabling System Version 1.0 identifiziert. Die Schwachstelle ermöglicht unauthentifizierten Angreifern die AusfĂĽhrung beliebiger SQL-Befehle ĂĽber den Password-Parameter in der Datei /index1.php. Mit einem CVSS-Score von 7.3 wird die Anfälligkeit als „High“ eingestuft. Derzeit ist kein Patch verfĂĽgbar und die SicherheitslĂĽcke wurde öffentlich offengelegt.
Betroffene Systeme
Betroffen ist SourceCodester Class and Exam Timetabling System in Version 1.0 und älter. Diese Web-Anwendung wird häufig in Bildungseinrichtungen zur Verwaltung von Stundenplan- und Prüfungsdaten eingesetzt. Alle Installationen ohne Sicherheits-Patches gelten als vulnerabel.
Technische Details
Die Anfälligkeit befindet sich in der Datei /index1.php. Die fehlende oder unzureichende Eingabevalidierung des Password-Parameters ermöglicht SQL-Injection-Attacken. Angreifer können durch manipulierte SQL-Syntax sensible Daten auslesen, ändern oder löschen. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung. Die exploit-Code wurde veröffentlicht, was das Risiko erheblich erhöht.
Empfohlene Massnahmen
- Sofortmassnahmen: Deaktivierung des Systems bis zur VerfĂĽgbarkeit eines Patches oder Workarounds
- Input-Validierung: Implementierung strenger Eingabevalidierung und Sanitisierung aller Benutzer-Eingaben
- Prepared Statements: Verwendung von Prepared Statements und Parameterized Queries statt String-Konkatenation
- WAF-Einsatz: Deployment einer Web Application Firewall mit SQL-Injection-Schutz
- Monitoring: Überwachung von Datenbank-Queries auf verdächtige Aktivitäten
- Datenbank-Berechtigungen: Einschränkung von Datenbankbenutzer-Privilegien nach dem Least-Privilege-Prinzip
Bewertung
CVSS v3.1: 7.3 (High)
Angriffsvektor: Network
Authentifizierung: Nicht erforderlich
Patchstatus: Kein offizieller Patch verfĂĽgbar
Exploit-VerfĂĽgbarkeit: Ă–ffentlich diskutiert
Das hohe Risiko erfordert unverzĂĽgliches Handeln. Organisationen sollten zeitnah mit dem Hersteller kommunizieren und alternative Sicherheitsmassnahmen evaluieren.
„`