xmyronn/cve-2026-7028-sqliPreuve de concept d'exploitation d'injection SQL dans CodeAstro Online Job Portal permettant la suppression authentifiée de tous les enregistrements d'offres d'emploi via une requête GET spécialement conçue.
Une vulnérabilité d'injection SQL a été identifiée dans la fonctionnalité de suppression d'emplois de l'administrateur du portail d'emploi en ligne CodeAstro.
L'application utilise le paramètre id directement dans la requête SQL sans validation appropriée ni liaison de paramètres. De ce fait, un attaquant peut modifier la requête en injectant une entrée malveillante.
En exploitant ce problème, un utilisateur authentifié peut altérer la logique de requête prévue et supprimer tous les enregistrements d'emplois de la base de données au lieu d'une seule entrée.
Connectez-vous au panneau d'administration.
Allez à :
/admin/jobs-admins/show-jobs.php
Vérifiez que plusieurs entrées d'emplois existent.
Envoyez la requête suivante :
GET /admin/jobs-admins/delete-jobs.php?id=48' OR '1'='1 HTTP/1.1
Host: target
Toutes les entrées d'emplois sont supprimées de la base de données au lieu d'une seule.
' OR '1'='1
Un attaquant authentifié peut supprimer toutes les offres d'emploi du système, entraînant une perte totale de données et une interruption du service.
