„`html
Zusammenfassung
In der Software „code-projects Online Job Portal“ Version 1.0 wurde eine kritische SQL-Injection-Schwachstelle identifiziert. Die Verwundbarkeit befindet sich in der Datei /Admin/EditUser.php und ermöglicht es Angreifern, beliebige SQL-Befehle auszuführen. Mit einem CVSS-Score von 7.3 wird diese Lücke als „High“ eingestuft und sollte mit höchster Priorität behoben werden.
Betroffene Systeme
Betroffen ist das „code-projects Online Job Portal“ in Version 1.0. Die Schwachstelle ist über das Netzwerk erreichbar und kann von remote ausgenutzt werden. Derzeit existiert kein offizieller Patch des Herstellers. Alle Installationen dieser Version sollten als gefährdet betrachtet werden.
Technische Details
Die Verwundbarkeit liegt in der Verarbeitung des Parameters „UserId“ in der Datei /Admin/EditUser.php. Die Eingabe wird nicht ausreichend validiert oder gefiltert, bevor sie in eine SQL-Abfrage eingebunden wird. Ein Angreifer kann durch manipulierte UserId-Parameter SQL-Injection-Payloads einschleusen und somit:
- Daten aus der Datenbank auslesen
- Datensätze modifizieren oder löschen
- Administrative Rechte erlangen
- Potentiell auf das Dateisystem zugreifen
Ein öffentlich verfügbarer Exploit existiert bereits, was das Risiko erheblich erhöht.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Auf eine gepatchte Version aktualisieren, sobald verfügbar
- Input-Validierung: Strenge Validierung und Sanitizing aller Benutzereingaben implementieren
- Prepared Statements: Parameterisierte Abfragen verwenden statt direkter String-Konkatenation
- WAF-Regeln: Web Application Firewall konfigurieren, um SQL-Injection-Muster zu blockieren
- Netzwerk-Segmentierung: Admin-Interface durch IP-Whitelist schützen
- Datenbankrechte: Minimale Privilegien für Datenbankkonten vergeben
Bewertung
CVSS Score: 7.3 (High) | CVE-ID: CVE-2026-15675
Die Verfügbarkeit eines öffentlichen Exploits in Kombination mit der fehlenden Patch erhöht das Risiko einer aktiven Ausnutzung erheblich. Eine schnelle Behebung ist erforderlich.
„`