xmyronn/cve-2026-6183-sqliДоказательство концепции эксплуатации SQL-инъекции в Simple Content Management System PHP, демонстрирующее извлечение данных на основе UNION через параметр id в index.php.
Уязвимость SQL-инъекции существует в простой системе управления
контентом на PHP. Параметр id в index.php не проходит санитизацию
перед передачей в SQL-запрос, что позволяет неаутентифицированному
злоумышленнику извлекать конфиденциальные данные из базы данных,
включая имена баз данных, таблицы и учётные данные.
/web/index.phpidcode-projects.org
Простая система управления контентом на PHP
1.0
GET /web/index.php?id=1 UNION SELECT 1,database(),3-- - HTTP/1.1
Host: [target]
Имя базы данных отображается на странице, что подтверждает SQL-инъекцию.
Неаутентифицированный удалённый злоумышленник может извлечь всю базу данных, включая учётные данные, пользовательские данные и весь сохранённый контент, используя UNION-основанную SQL-инъекцию через параметр id.
Imad Alvi