„`html
Zusammenfassung
In SourceCodester Class and Exam Timetabling System 1.0 wurde eine SQL-Injection-Vulnerabilität identifiziert. Die Schwachstelle befindet sich in der Datei /archive2.php und ermöglicht es Angreifern, über manipulation des Parameters „sy“ SQL-Befehle auszuführen. Die Vulnerability hat einen CVSS-Score von 7.3 (High) und kann remote ausgenutzt werden.
Betroffene Systeme
Die folgende Software-Version ist betroffen:
- SourceCodester Class and Exam Timetabling System Version 1.0
Systeme mit älteren oder neueren Versionen sollten überprüft werden. Derzeit ist kein offizieller Patch verfügbar.
Technische Details
Vulnerability-Typ: SQL Injection (CWE-89)
Betroffene Komponente: /archive2.php
Anfälliger Parameter: sy
Die Anwendung validiert oder escaped die Eingabe des Parameters „sy“ nicht ausreichend. Dies ermöglicht es Angreifern, eigene SQL-Statements einzuschleusen. Die fehlende Input-Validierung führt dazu, dass Datenbankabfragen manipuliert werden können, ohne dass Authentifizierung erforderlich ist.
Angriffsvektor: Network / Remote
Authentifizierung: Nicht erforderlich
Empfohlene Massnahmen
- Sofortmassnahmen: System vom Netzwerk isolieren oder Zugriff auf /archive2.php einschränken
- Input-Validierung: Alle Benutzereingaben, insbesondere der Parameter „sy“, müssen validiert und escaped werden
- Prepared Statements: Parameterisierte Queries verwenden, um SQL-Injection zu verhindern
- WAF-Regeln: Web Application Firewall mit Regeln gegen SQL-Injection konfigurieren
- Monitoring: Datenbankzugriffe und Fehler-Logs überwachen
- Update abwarten: Vendor-Updates kontinuierlich prüfen
Bewertung
CVSS v3.1 Score: 7.3 (High)
Die Vulnerability hat hohes Risiko durch Remote-Ausführbarkeit und fehlende Authentifizierung. Da der Exploit öffentlich bekannt ist, steigt das Missbrauchsrisiko erheblich. Betroffene Systeme sollten prioritär mitigiert werden.
„`