„`html
Zusammenfassung
Die Schwachstelle CVE-2026-11475 betrifft das Open-Source-Projekt Kushan2k student-management-system und ermöglicht SQL-Injection-Angriffe durch manipulierte Eingabeparameter. Mit einem CVSS-Score von 6.3 wird die Vulnerabilität als Medium-Risk klassifiziert. Der Exploit ist öffentlich verfügbar und kann für Remote-Angriffe genutzt werden.
Betroffene Systeme
Betroffen sind alle Installationen des Kushan2k student-management-system bis zur Commit-Version f16a4ceaddd6729c4b306ed4641cda3176c1ef2a. Das Projekt operiert auf Basis eines Rolling-Release-Modells, weshalb keine spezifischen Versionsnummern fĂĽr betroffene oder gepatchte Releases verfĂĽgbar sind. Dies erschwert die Identifikation vulnerabler Instanzen erheblich.
Technische Details
Die Anfälligkeit befindet sich in der Funktion getStatus() der Datei controllers/GradeController.php, welche als Certificate Verification Endpoint fungiert. Der Parameter nic wird unzureichend validiert und gefiltert, bevor er in SQL-Abfragen verwendet wird. Dies ermöglicht es Angreifern, arbiträre SQL-Befehle einzuschleusen.
Durch präparierte Eingaben im nic-Parameter können Attackoren:
- Datenbankinhalte auslesen (Datenlecks)
- Datensätze manipulieren oder löschen
- Benutzerkonten compromitten
- Administrative Zugriffe erlangen
Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung oder spezielle Berechtigungen.
Empfohlene Massnahmen
- Sofortmassnahme: Implementierung von Input-Validierung und Prepared Statements fĂĽr alle Datenbankabfragen
- Web Application Firewall (WAF): Deployment einer WAF mit SQL-Injection-Signaturen zur temporären Schadensminderung
- Code-Review: Umfassende ĂśberprĂĽfung aller Datenbankinteraktionen in der Anwendung
- Monitoring: Implementierung von Logging und Alerting für verdächtige SQL-Muster
- Patch-Tracking: Regelmäßige Überprüfung des Projekt-Repositories auf Sicherheitspatches
Bewertung
Trotz des Medium-Severity-Ratings stellt diese Vulnerabilität ein signifikantes Risiko dar, da der Exploit öffentlich verfügbar ist und eine direkte Remote-Exploitierbarkeit besteht. Das fehlende Patch-Statement und die mangelnde Kommunikation des Projektteams verschärfen die Situation. Eine zeitnahe Mitigationsstrategie ist empfohlen.
„`