🟠 CVE-2026-13488: High Schwachstelle

„`html

Zusammenfassung

Eine kritische SQL-Injection-Schwachstelle wurde in SourceCodester Class and Exam Timetabling System Version 1.0 identifiziert. Die Vulnerabilität befindet sich in der Datei /preview7.php und ermöglicht es Angreifern, über den Parameter „course_year_section“ unbefugte SQL-Befehle auszuführen. Mit einem CVSS-Wert von 7.3 wird diese Sicherheitslücke als „High“ eingestuft. Das Exploit-Code wurde bereits öffentlich veröffentlicht, weshalb eine zeitnahe Behebung dringend erforderlich ist.

Betroffene Systeme

SourceCodester Class and Exam Timetabling System Version 1.0 und 7.php sind direkt betroffen. Alle Installationen dieses Systems, die die vulnerable Komponente /preview7.php nutzen, sind gefährdet. Die Schwachstelle kann von beliebigen Netzwerk-Positionen aus ausgenutzt werden, keine lokale Authentifizierung ist erforderlich.

Technische Details

Die SQL-Injection-Lücke existiert in der Parameterverarbeitung der /preview7.php-Datei. Der Parameter „course_year_section“ wird nicht ausreichend validiert oder bereinigt (sanitized), bevor er in SQL-Abfragen verwendet wird. Ein Angreifer kann durch manipulierte Eingaben beliebige SQL-Befehle einschleusen und ausführen. Dies ermöglicht Datenbankabfragen, Datenmanipulation oder potenzielle Datenbankserver-Übernahme. Die fehlende Eingabevalidierung stellt ein kritisches Sicherheitsrisiko dar.

Empfohlene Massnahmen

• Sofortige Aktion: Betroffene Systeme sollten vom Netz genommen oder mit Web Application Firewalls (WAF) geschützt werden
• Patch einspielen: Regelmäßig auf Updates des Herstellers überprüfen, sobald Sicherheits-Patches verfügbar sind
• Eingabevalidierung: Implementierung von strikten Input-Validierungen und parametrisierten Abfragen (Prepared Statements)
• Monitoring: Datenbank-Logs auf verdächtige SQL-Befehle überwachen
• Datenbank-Härtung: Minimale Berechtigungen für Datenbankbenutzer setzen

Bewertung

Die CVSS-Bewertung von 7.3 unterstreicht das ernsthafte Risiko dieser Vulnerabilität. Die Kombination aus öffentlich verfügbarem Exploit-Code und fehlenden Patches macht diese Sicherheitslücke zu einer unmittelbaren Bedrohung. Systeme mit direkter Internetanbindung sind besonders gefährdet. Umgehende Mitigationsmaßnahmen sind erforderlich.

„`