Примечание: Данный отчёт намеренно исключает рабочий эксплойт-пейлоад. Детали proof-of-concept были переданы в частном порядке сопровождающему проекта для устранения уязвимости.

Затронутая конечная точка (пример)

Пример URL для локального тестирования:

Детали уязвимости

• Тип: SQL Injection (Time-Based Blind)
• Параметр: product_id (GET)
• Расположение: admin/admin/edit_product.php
• Вектор атаки: Удалённый (сформированный URL); аутентификация не требуется, если административная конечная точка публично доступна или достижима для злоумышленника.
• Предварительные условия: Конечная точка должна принимать параметр product_id и включать его в SQL-запрос без параметризации.

Доказательства (сводка тестов задержек)

Попытки инъекций на основе задержек с использованием семантики SLEEP() базы данных показали измеримые задержки на стороне сервера, согласующиеся с успешной инъекцией:

• SLEEP(6) → наблюдаемая задержка ответа ≈ 6.01с
• SLEEP(15) → наблюдаемая задержка ответа ≈ 15.00с
• SLEEP(0) → базовая задержка ответа ≈ 0.01с

Эти результаты указывают на точку blind SQL-инъекции, допускающую логический вывод на основе времени. Имя базы данных, наблюдаемое во время тестирования: onlineshop.

Влияние

Успешная эксплуатация данной уязвимости позволяет злоумышленникам:

• Подтверждать и перечислять содержимое базы данных с помощью blind/time-based техник.
• Извлекать данные (схему, имена таблиц, строки) с помощью автоматизированных инструментов (например, sqlmap) с использованием time-based техник.
• Потенциально расширять атаку до дальнейшей компрометации в зависимости от привилегий базы данных и контекста приложения.

Предполагаемая серьёзность: Высокая

Воспроизведение (на высоком уровне)

1. Отправьте сформированный запрос к параметру product_id, содержащий SQL-конструкции временной задержки (тестирование проводилось с вариациями SLEEP()).
2. Наблюдайте за временем ответа сервера, чтобы определить, выполнилось ли внедрённое выражение.
3. Повторные тесты с различными пейлоадами позволяют автоматизированное извлечение данных с помощью time-based техник.

Полный пошаговый PoC исключён из публичного отчёта — свяжитесь с автором для получения зашифрованного PoC в рамках ответственного раскрытия уязвимости.

Рекомендуемые меры по устранению

1. Используйте параметризованные запросы / подготовленные выражения для всех операций с базой данных. Не конкатенируйте пользовательский ввод в SQL-строки.
   • Пример (PHP + PDO):
     root@kitploit:~

     $stmt = $pdo->prepare('SELECT * FROM products WHERE id = ?');
     $stmt->execute([$product_id]);
     

2. Проверяйте и очищайте ввод: обрабатывайте product_id как целое число и выполняйте соответствующую валидацию (например, filter_input(INPUT_GET, 'product_id', FILTER_VALIDATE_INT)).
3. Минимальные привилегии: убедитесь, что пользователь базы данных, используемый веб-приложением, имеет минимальные привилегии (избегайте DROP, ALTER, GRANT или административных прав).
4. Обработка ошибок: избегайте утечки ошибок базы данных клиенту. Используйте общие сообщения об ошибках и логируйте подробные ошибки на стороне сервера.
5. WAF / ограничение скорости: в качестве временной меры внедрите правила WAF для обнаружения типичных SQLi-паттернов и применяйте ограничения скорости для замедления массовых попыток извлечения данных.
6. Аудит связанных конечных точек: проверьте другие административные конечные точки и параметры на аналогичные паттерны инъекций.

Предлагаемая команда sqlmap

(Включена для удобства вендора/сопровождающего — не публикуйте пейлоады PoC публично)

Ссылки

• OWASP SQL Injection: https://owasp.org/www-community/attacks/SQL_Injection

Контакты / Авторы

Обнаружил: Hafiz Pradana Gemilang

• Email: [email protected]
• GitHub: https://github.com/hafizgemilang/CVE-2025-52021

Вендор / Репозиторий: https://github.com/PuneethReddyHC/online-shopping-system-advanced

Отказ от ответственности: Данный публичный отчёт опускает эксплуатируемые пейлоады для защиты пользователей. Полные технические детали и PoC доступны вендору по запросу в рамках согласованной политики ответственного раскрытия уязвимости.