„`html
Zusammenfassung
CVE-2026-14648 beschreibt eine SQL-Injection-Sicherheitslücke im code-projects Online Voting System bis Version 0.x/1.0. Die Anfälligkeit liegt in der Funktion test_input() der Datei /authentication.php im Login-Komponenten-Modul vor. Durch Manipulation der Parameter adminUserName und adminPassword können Angreifer SQL-Befehle einschleusen und die Datenbank kompromittieren. Die Schwachstelle besitzt einen CVSS-Score von 7.3 (High) und ist öffentlich bekannt.
Betroffene Systeme
- code-projects Online Voting System Version 0.x bis 1.0
- Alle Installation mit automatisierter oder manueller Authentifizierung über /authentication.php
- Systeme ohne aktualisierte Input-Validierung
Technische Details
Die Anfälligkeit entsteht durch unzureichende Eingabevalidierung in der test_input()-Funktion. Parameter werden nicht ordnungsgemäß sanitiert, bevor sie in SQL-Abfragen verwendet werden. Ein Angreifer kann speziell crafted SQL-Syntax in die Login-Felder eingeben, beispielsweise:
admin' OR '1'='1
Dies ermöglicht Authentifizierung ohne gültige Anmeldedaten oder Datenbankmanipulation. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.
Empfohlene Massnahmen
- Sofortige Massnahmen: Betroffene Systeme vom Netz trennen oder mit WAF (Web Application Firewall) schützen
- Input-Validierung: Alle Benutzereingaben mit Whitelisting-Methoden validieren
- Prepared Statements: SQL-Queries ausschliesslich mit parametrisierten Statements implementieren
- Patch-Deployment: Auf neueste Version upgraden, sobald Patch verfügbar ist
- Monitoring: Datenbankzugriffe und Authentifizierungsversuche überwachen
Bewertung
CVSS-Score: 7.3 (High)
Status: Kein Patch verfügbar
Exploit-Status: Öffentlich disclosed
Die Kombination aus hohem Schweregrad, öffentlich bekanntem Exploit und fehlender Patch macht dieses CVE zu einer kritischen Bedrohung für betroffene Installationen.
„`