🟠 CVE-2026-14641: High Schwachstelle

„`html

Zusammenfassung

In der SourceCodester Class and Exam Timetabling System Version 1.0 wurde eine kritische SQL-Injection-Sicherheitslücke identifiziert. Die Vulnerabilität ermöglicht es unauthentifizierten Angreifern, über manipulierte Parameter in der Datei /edit_course.php SQL-Befehle auszuführen. Mit einem CVSS-Score von 7.3 ist diese Schwachstelle als „High“ eingestuft. Das Exploit ist öffentlich verfügbar.

Betroffene Systeme

Produkt: SourceCodester Class and Exam Timetabling System
Version: 1.0
Plattformen: Verschiedene (betriebssystemunabhängig)
Patch-Status: Kein Patch verfügbar

Technische Details

Die Vulnerabilität befindet sich in der Anwendungslogik der Datei /edit_course.php. Der Parameter „ID“ wird nicht ausreichend validiert und sanitiert, bevor er in SQL-Abfragen verwendet wird. Dies ermöglicht SQL-Injection-Attacken durch speziell präparierte Eingaben.

Der Angriffsvektor ist netzwerkbasiert (CVSS:AV:N), was bedeutet, dass keine physische oder lokale Authentifizierung erforderlich ist. Ein Angreifer kann die Schwachstelle über HTTP-Requests von der Ferne ausnutzen.

Empfohlene Massnahmen

• Sofortmassnahmen: Alle Instanzen der betroffenen Version offline nehmen oder mit WAF-Regeln schützen
• Input-Validierung: Strikte Validierung und Sanitization des ID-Parameters implementieren
• Prepared Statements: Parameterisierte Queries anstelle dynamischer SQL-Konstruktion verwenden
• Monitoring: Logs auf verdächtige SQL-Injection-Versuche überwachen
• Update abwarten: Auf einen Sicherheits-Patch des Herstellers warten

Bewertung

CVSS v3.1 Score: 7.3 (High)
Auswirkung: Datenbankmanipulation, Datenoffenlegung, möglicher Systemzugriff
Komplexität: Niedrig – Öffentlich verfügbare Exploits existieren
Dringlichkeit: Kritisch für produktive Systeme

„`