🟠 CVE-2026-14772: High Schwachstelle

„`html

Zusammenfassung

Eine SQL-Injection-Schwachstelle wurde in SourceCodester Class and Exam Timetabling System Version 1.0 identifiziert.
Die Vulnerabilität befindet sich in der Datei /edit_course1.php und ermöglicht es Angreifern, über manipulierte ID-Parameter
SQL-Befehle auszuführen. Mit einem CVSS-Score von 7.3 wird diese Schwachstelle als High-Risk eingestuft.

Betroffene Systeme

• SourceCodester Class and Exam Timetabling System Version 1.0
• Datei: /edit_course1.php
• Parameter: ID-Argument
• Diverse Installationen weltweit

Technische Details

Die Schwachstelle ermöglicht SQL-Injection durch unzureichende Validierung und Sanitisierung des ID-Parameters
in der Funktion /edit_course1.php. Der Parameter wird direkt in SQL-Queries verarbeitet, ohne dass entsprechende
Schutzmaßnahmen implementiert sind. Ein Angreifer kann böswillige SQL-Befehle einschleusen und damit:

• Unbegrenzt Daten aus der Datenbank auslesen
• Datenbankeinträge manipulieren oder löschen
• Administrative Konten kompromittieren
• Potentiell Code auf dem Server ausführen

Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung. Die Exploit-Details sind öffentlich verfügbar.

Empfohlene Massnahmen

• Sofort: Implementierung von Input-Validierung und Parameterized Queries/Prepared Statements
• Verwendung von Web Application Firewalls (WAF) zur Filterung verdächtiger Anfragen
• Implementierung von escaping-Funktionen für alle Benutzereingaben
• Regelmäßige Security-Audits und Code-Reviews durchführen
• Datenbankinhalte regelmäßig sichern
• Zugriffsprotokolle überwachen auf verdächtige Aktivitäten

Bewertung

CVSS 7.3 (High) | Angriffsvektor: Netzwerk | Authentifizierung: Nicht erforderlich |
Komplexität: Niedrig

Ein Patch ist derzeit nicht verfügbar. Das Risiko wird als erheblich eingestuft.
Betroffene Administratoren sollten sofortige Mitigationsmaßnahmen ergreifen.

„`