CVE-2025-63532

SQL Injection w Blood Bank Management System — obejście uwierzytelnienia

CVSS 9.6v3.1pub. 2025-12-01upd. 2025-12-04

W aplikacji Blood Bank Management System 1.0 istnieje podatność SQL injection w komponencie cancel.php, umożliwiająca nieuwierzytelniony dostęp do systemu. Ze względu na krytyczny wynik CVSS 9.6 oraz możliwość całkowitego obejścia mechanizmu uwierzytelnienia, podatność stanowi poważne zagrożenie dla integralności i poufności danych.

▸ Pokaż oryginał (EN)

A SQL injection vulnerability exists in the Blood Bank Management System 1.0 within the cancel.php component. The application fails to properly sanitize user-supplied input in SQL queries, allowing an attacker to inject arbitrary SQL code. By manipulating the search field, an attacker can bypass authentication and gain unauthorized access to the system.

🤖 Analiza AI

Jak działa

Aplikacja nie przeprowadza odpowiedniej sanityzacji danych wprowadzanych przez użytkownika przed włączeniem ich do zapytań SQL. Atakujący może zmanipulować pole wyszukiwania w komponencie cancel.php, wstrzykując dowolny kod SQL. Skutkuje to możliwością obejścia mechanizmu uwierzytelnienia (auth bypass) i uzyskania nieautoryzowanego dostępu do systemu bez znajomości prawidłowych danych logowania.

Skutki

Atakujący posiadający dostęp sieciowy do aplikacji może ominąć uwierzytelnienie i uzyskać nieuprawniony dostęp do systemu zarządzania bankiem krwi, a także odczytać lub zmodyfikować dane przechowywane w bazie danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci oraz wdrożenie reguł WAF blokujących charakterystyczne sekwencje SQL injection w polach wejściowych.