CVE-2025-26198
CloudClassroom-PHP-Project v1.0 contient une vulnérabilité critique d'injection SQL dans le composant loginlinkadmin.php. L'application n'assainit pas les...
- Publié
- 18 juin 2025
- Mise à jour
- 20 juin 2025
- Attribution de CNA
- mitre
- Preuve observée
- 6 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 49,1 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
CloudClassroom-PHP-Project v1.0 contient une vulnérabilité critique d'injection SQL dans le composant loginlinkadmin.php. L'application n'assainit pas les entrées fournies par l'utilisateur dans le formulaire de connexion admin avant de les inclure directement dans les requêtes SQL. Cela permet à des attaquants non authentifiés d'injecter des charges utiles SQL arbitraires et de contourner l'authentification, obtenant ainsi un accès administratif non autorisé. La vulnérabilité est déclenchée lorsqu'un attaquant fournit une entrée spécialement conçue dans le champ nom d'utilisateur, telle que ' OR '1'='1, conduisant à un compromis complet du mécanisme de connexion et à une exposition potentielle de données sensibles du back-end.
Sources
Divulgation publique
Avis et preuve de concept pour CVE-2026-29861, une injection SQL critique dans PHP-MYSQL-User-Login-System permettant un accès administrateur non authentifié.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.