„`html
Zusammenfassung
In der SourceCodester Class and Exam Timetabling System Version 1.0 wurde eine SQL-Injection-Schwachstelle identifiziert. Die Sicherheitslücke befindet sich in der Datei /preview6.php und wird durch unsanitäre Verarbeitung des Parameters „course_year_section“ ausgelöst. Die CVE-2026-13486 wird mit einem CVSS-Score von 7.3 als High-Severity-Vulnerability eingestuft und kann remote ausgenutzt werden.
Betroffene Systeme
- SourceCodester Class and Exam Timetabling System Version 1.0
- Datei: /preview6.php
- Parameter: course_year_section
Alle Installationen dieser Software-Version sind potenziell betroffen, unabhängig von Betriebssystem oder Hosting-Umgebung.
Technische Details
Die SQL-Injection-Schwachstelle entsteht durch unzureichende Input-Validierung des Parameters „course_year_section“ in der Datei preview6.php. Ein Angreifer kann durch Manipulation dieses Parameters beliebige SQL-Befehle in die Datenbankabfrage einschleusen.
Der Angriffsvektor ist netzwerkbasiert (Network), d.h. keine lokale Authentifizierung oder physischer Zugriff erforderlich. Die öffentliche Disclosure des Exploits erhöht das Risiko erheblich, da Angreifer sofort verfügbare Proof-of-Concept-Code nutzen können.
Empfohlene Massnahmen
- Sofortmaßnahmen: Betroffene Systeme vom Netz nehmen oder mit WAF-Regeln schützen
- Input-Validierung: Alle Benutzereingaben mittels Whitelist-Ansatz validieren
- Parameterized Queries: Prepared Statements für alle Datenbankabfragen implementieren
- Web Application Firewall: SQL-Injection-Muster blockieren
- Monitoring: Verdächtige Datenbankabfragen überwachen
- Update: Hersteller kontaktieren oder zu alternativer Software migrieren
Bewertung
CVSS v3.1 Score: 7.3 (High)
Der hohe Schweregrad ist durch die einfache Exploitierbarkeit, Remote-Ausführung und fehlende Patches gerechtfertigt. Unverzügliche Maßnahmen sind erforderlich. Die Verfügbarkeit eines öffentlichen Exploits beschleunigt potenziell Angriffsversuche in der Praxis.
„`