CVE-2021-41691

SQL Injection w OpenSIS via parametry student_id i TRANSFER[SCHOOL]

CVSS 9.8v3.1pub. 2025-06-24upd. 2025-07-09

W systemie OpenSIS Community v8.0 firmy OS4Ed wykryto krytyczną podatność SQL injection, umożliwiającą nieuwierzytelnionemu atakującemu manipulację bazą danych poprzez specjalnie spreparowane żądanie HTTP POST. Podatność jest szczególnie niebezpieczna ze względu na brak wymagań dotyczących uwierzytelnienia oraz pełny wpływ na poufność, integralność i dostępność danych.

▸ Pokaż oryginał (EN)

A SQL injection vulnerability exists in OS4Ed Open Source Information System Community v8.0 via the "student_id" and "TRANSFER{SCHOOL]" parameters in POST request sent to /TransferredOutModal.php.

🤖 Analiza AI

Jak działa

Atakujący wysyła złośliwe żądanie HTTP POST do endpointu /TransferredOutModal.php, wstrzykując niebezpieczne wyrażenia SQL w parametrach 'student_id' oraz 'TRANSFER[SCHOOL]'. Dane przekazywane przez użytkownika nie są odpowiednio walidowane ani parametryzowane przed przekazaniem do zapytania bazodanowego. Umożliwia to modyfikację logiki zapytań SQL wykonywanych przez aplikację, co prowadzi do nieautoryzowanego dostępu lub manipulacji danymi w bazie.

Skutki

Atakujący może uzyskać nieautoryzowany odczyt, modyfikację lub usunięcie danych z bazy danych systemu, w tym wrażliwych danych uczniów i pracowników. W zależności od konfiguracji serwera bazy danych możliwe jest również wykonanie poleceń systemowych lub całkowite przejęcie kontroli nad aplikacją.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do endpointu /TransferredOutModal.php na poziomie firewall lub WAF oraz monitorowanie logów aplikacji pod kątem podejrzanych żądań POST do tego zasobu.

Kogo dotyczy

OS4Ed OpenSIS Community v8.0

Uwagi

Podatność opisana jako 0-day w publicznych zasobach badacza (resources.s4e.io). Identyfikator CVE nadany w 2021 roku, natomiast formalna publikacja CVE nastąpiła 2025-06-24.