🟠 CVE-2026-13521: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-13521 beschreibt eine SQL-Injection-Schwachstelle im SourceCodester Class and Exam Timetabling System Version 1.0.
Die Verwundbarkeit befindet sich in der Datei /preview5.php und ermöglicht es Angreifern, über manipulierte Parameter
SQL-Befehle einzuschleusen. Mit einem CVSS-Score von 7.3 (High) wird diese Schwachstelle als erhebliches Sicherheitsrisiko
eingestuft. Derzeit existiert kein offizieller Patch vom Hersteller.

Betroffene Systeme

Software: SourceCodester Class and Exam Timetabling System
Version: 1.0, 5.php
Verbreitungsgrad: Verschiedene Systeme und Installationen
Betriebssysteme: Plattformunabhängig (webbasierte Anwendung)

Technische Details

Die Vulnerability liegt in der fehlenden Input-Validierung des Parameters course_year_section in der Datei
/preview5.php. Dieser Parameter wird direkt in SQL-Queries verarbeitet, ohne vorherige Sanitization oder Prepared Statements
zu verwenden. Angreifer können durch speziell manipulierte Eingaben beliebige SQL-Befehle ausführen, was zu:

• Unauthorisierter Datenbankzugriff führt
• Datenexfiltration ermöglicht
• Datenbank-Modifikation oder -Löschung ermöglicht
• Mögliche Remote Code Execution (RCE) bietet

Angriffsvektor: Network | Komplexität: Low | Authentifizierung: Nicht erforderlich

Empfohlene Massnahmen

• Sofortige Implementierung von Input-Validierung und Output-Encoding
• Einsatz von Prepared Statements und Parameterized Queries
• Regelmässige Code-Reviews und Security-Audits durchführen
• Web Application Firewall (WAF) konfigurieren, um SQL-Injection zu blockieren
• Datenbankbenutzerprivilegien beschränken (Principle of Least Privilege)
• Regelmässige Backups durchführen und Disaster-Recovery testen
• Auf ein gepatchtes System upgraden, sobald verfügbar

Bewertung

CVSS v3.1 Base Score: 7.3 (High)
Patch-Status: Nicht verfügbar
Exploit-Status: Öffentlich verfügbar
Diese Schwachstelle sollte mit höchster Priorität behandelt werden, da ein funktionierender Exploit bereits in der
Öffentlichkeit zirkuliert und die SQL-Injection von einem entfernten Angreifer ohne Authentifizierung ausgenutzt werden kann.

„`