CVE-2025-56214

SQL Injection w phpgurukul Hospital Management System 4.0 (parametr username)

CVSS 9.8v3.1pub. 2025-08-25upd. 2026-04-06

phpgurukul Hospital Management System w wersji 4.0 zawiera podatność SQL Injection w pliku index.php, umożliwiającą atakującemu manipulację zapytaniami do bazy danych bez uwierzytelnienia. Ze względu na brak wymagań dotyczących uprawnień i sieciowy charakter ataku, podatność stanowi krytyczne zagrożenie dla każdego wystawionego publicznie systemu.

▸ Pokaż oryginał (EN)

phpgurukul Hospital Management System 4.0 is vulnerable to SQL Injection in index.php via the username parameter.

🤖 Analiza AI

Jak działa

Atakujący przesyła spreparowane dane w parametrze 'username' formularza logowania w pliku index.php, które są włączane do zapytania SQL bez odpowiedniej walidacji lub parametryzacji. Pozwala to na wstrzyknięcie dowolnych instrukcji SQL bezpośrednio do zapytania wykonywanego przez bazę danych. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, odczytać, zmodyfikować lub usunąć poufne dane pacjentów i personelu medycznego, a w sprzyjających warunkach przejąć pełną kontrolę nad systemem lub serwerem bazodanowym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W ramach doraźnych działań zaleca się ograniczenie dostępu do systemu wyłącznie do zaufanych sieci, wdrożenie reguł WAF blokujących próby SQL Injection oraz zastąpienie dynamicznych zapytań SQL zapytaniami parametryzowanymi (prepared statements).