CVE-2023-41503

SQL injection w funkcji logowania — Code-Projects Student Enrollment PHP v1.0

CVSS 9.8v3.1pub. 2024-03-07upd. 2025-05-05

W aplikacji Student Enrollment In PHP w wersji 1.0 wykryto podatność typu SQL injection w funkcji logowania (Login). Umożliwia ona nieuwierzytelnionemu atakującemu zdalne manipulowanie bazą danych, co czyni tę lukę wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

Student Enrollment In PHP v1.0 was discovered to contain a SQL injection vulnerability via the Login function.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych do funkcji logowania (CWE-94 — code injection). Atakujący może wstrzyknąć złośliwy kod SQL bezpośrednio w pola formularza logowania, modyfikując tym samym zapytanie kierowane do bazy danych. Atak nie wymaga uwierzytelnienia, żadnej interakcji po stronie użytkownika ani szczególnych warunków sieciowych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do aplikacji (w tym pominąć mechanizm uwierzytelnienia), odczytać, zmodyfikować lub usunąć dane z bazy danych, a potencjalnie przejąć pełną kontrolę nad systemem baz danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie parametryzowanych zapytań SQL (prepared statements) oraz mechanizmów walidacji danych wejściowych po stronie serwera. Rekomendowane jest również ograniczenie dostępu do aplikacji na poziomie firewall do zaufanych adresów IP.

Kogo dotyczy

Code-Projects Student Enrollment In PHP w wersji 1.0

Uwagi

Podatność została udokumentowana przez użytkownika ASR511-OO7 w repozytorium GitHub. Pomimo oceny CVSS 9.8 (CRITICAL), podatność nie figuruje w katalogu CISA KEV.