🟠 CVE-2026-78199: High Schwachstelle

„`html

Zusammenfassung

In der SourceCodester Simple Online Food Ordering System Version 1.0 wurde eine SQL-Injection-Schwachstelle identifiziert. Die Vulnerabilität befindet sich in der Datei /fos/view_prod.php und ermöglicht es Angreifern, durch Manipulation des Parameters ID beliebige SQL-Befehle auszuführen. Der Exploit ist öffentlich verfügbar und wird bereits aktiv genutzt.

Betroffene Systeme

• SourceCodester Simple Online Food Ordering System Version 1.0
• Alle Installationen ohne Sicherheitspatches
• Systeme mit aktivem Datenbankzugriff über die anfällige Komponente

Technische Details

Angriffsvektor: Network (Netzwerkbasiert, keine physische oder lokale Authentifizierung erforderlich)

Anfälliger Parameter: ID-Argument in /fos/view_prod.php

Schwachstelle: Unzureichende Input-Validierung und Parameterbereinigung ermöglichen SQL-Injection-Angriffe. Besonders kritisch ist die direkte Übergabe von Benutzereingaben in SQL-Abfragen ohne Prepared Statements oder Escape-Mechanismen.

Exploitbarkeit: Die Schwachstelle ist einfach auszunutzen und erfordert keine speziellen Authentifizierungsrechte. Ein öffentlicher Proof-of-Concept existiert bereits.

Empfohlene Massnahmen

• Sofortig: Aktualisierung auf eine gepatchte Version durchführen (sofern verfügbar)
• Kurzfristig: Implementierung von Web Application Firewalls (WAF) mit SQL-Injection-Schutz
• Grundsätzlich: Verwendung von Prepared Statements und Parameterized Queries
• Monitoring: Überwachung von verdächtigen Datenbankzugriffen und ungewöhnlichen SQL-Befehlen
• Validierung: Strikte Input-Validierung auf Client- und Serverseite implementieren

Bewertung

CVSS-Score: 7.3 (High)

Die Schwachstelle wird als kritisch eingestuft. Das öffentlich verfügbare Exploit-Material und das Fehlen von Sicherheitspatches erhöhen das Risiko erheblich. Umgehende Maßnahmen sind erforderlich.

„`