🟠 CVE-2026-13485: High Schwachstelle

„`html

Zusammenfassung

Eine SQL-Injection-Schwachstelle wurde in SourceCodester Class and Exam Timetabling System Version 1.0 entdeckt. Die Anfälligkeit betrifft die Datei /preview.php und ermöglicht es Angreifern, durch Manipulation des Parameters „course_year_section“ unbefugte Datenbankzugriffe durchzuführen. Der Schweregrad wird mit „High“ (CVSS 7.3) bewertet.

Betroffene Systeme

SourceCodester Class and Exam Timetabling System Version 1.0 und alle Installationen dieses Systems sind anfällig. Das Exploit ist bereits öffentlich bekannt und kann von Angreifern genutzt werden. Derzeit ist kein Patch verfügbar.

Technische Details

Die Schwachstelle liegt in der unzureichenden Eingabevalidierung des Parameters „course_year_section“ in der Datei /preview.php. Ein Angreifer kann über das Netzwerk speziell präparierte SQL-Befehle einschleusen, die von der Anwendung direkt an die Datenbankabfrage weitergeleitet werden. Dies ermöglicht das Auslesen, Ändern oder Löschen von Datenbankinhalten. Der Angriffsvektor ist netzwerkgestützt und erfordert keine Authentifizierung.

Empfohlene Massnahmen

• Deaktivieren Sie die betroffene Funktionalität bis zur Verfügbarkeit eines Patches
• Implementieren Sie Web Application Firewall (WAF) Regeln zur Blockade verdächtiger SQL-Befehle
• Führen Sie eine Eingabevalidierung mit Whitelist-Ansatz durch
• Nutzen Sie parametergebundene Abfragen und Prepared Statements
• Begrenzen Sie Datenbankberechtigungen nach dem Least-Privilege-Prinzip
• Überwachen Sie Datenbankzugriffe auf verdächtige Aktivitäten
• Kontaktieren Sie den Hersteller bezüglich eines Sicherheits-Patches

Bewertung

Mit einem CVSS-Score von 7.3 stellt diese Schwachstelle eine erhebliche Sicherheitsgefahr dar. Das öffentlich bekannte Exploit und die fehlende Patch-Verfügbarkeit erhöhen das Risiko erheblich. Eine sofortige Risikominderung ist erforderlich.

„`