🟠 CVE-2026-13527: High Schwachstelle

„`html

Zusammenfassung

Eine SQL-Injection-Anfälligkeit wurde in SourceCodester Class and Exam Timetabling System Version 1.0 identifiziert. Die Schwachstelle befindet sich in der Datei /preview4.php und ermöglicht es Angreifern, über den Parameter course_year_section beliebige SQL-Befehle auszuführen. Die Anfälligkeit weist einen CVSS-Score von 7.3 auf und wird als High-Severity eingestuft. Das Exploit wurde öffentlich gemacht und ist aktiv einsatzbereit.

Betroffene Systeme

• SourceCodester Class and Exam Timetabling System Version 1.0
• Möglicherweise auch ältere und neuere Versionen
• Alle Installationen ohne Sicherheits-Patches

Der Schwachstelle liegt eine unzureichende Eingabevalidierung zugrunde, die keine Schutzmaßnahmen gegen SQL-Injection bietet.

Technische Details

Die Anfälligkeit existiert in der Verarbeitung des Parameters course_year_section in /preview4.php. Dieser Parameter wird direkt in SQL-Queries verwendet, ohne dass eine ordnungsgemäße Escaping oder Prepared Statements implementiert sind. Ein unauthentisierter Remote-Attacker kann durch Manipulation dieses Parameters SQL-Code injizieren und ausführen.

Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass die Schwachstelle von außerhalb direkt angreifbar ist. Keine Authentifizierung oder lokale Zugriffe sind erforderlich.

Empfohlene Massnahmen

1. Sofortige Maßnahmen: Betroffene Systeme vom Netzwerk isolieren oder mit Web Application Firewalls schützen
2. Input-Validierung: Alle Benutzereingaben streng validieren und filtern
3. Prepared Statements: Parametrisierte SQL-Queries verwenden
4. Updates: Auf eine gepatchte Version wechseln, wenn verfügbar
5. Monitoring: Logs auf verdächtige SQL-Patterns überwachen

Bewertung

CVSS v3.1: 7.3 (High)
Angriffsvektor: Network
Patch-Status: Nicht verfügbar
Exploitabilität: Öffentlich bekannt

Aufgrund der öffentlich verfügbaren Exploits und fehlender Patches wird eine baldige Remediation dringend empfohlen.

„`