CVE-2025-63531

SQL Injection z pominięciem uwierzytelnienia w Blood Bank Management System

CVSS 10.0v3.1pub. 2025-12-01upd. 2025-12-02

W systemie Blood Bank Management System 1.0 wykryto podatność SQL injection w komponencie receiverLogin.php, umożliwiającą pominięcie mechanizmu uwierzytelnienia. Atakujący nieuwierzytelniony zdalnie może uzyskać nieautoryzowany dostęp do systemu.

▸ Pokaż oryginał (EN)

A SQL injection vulnerability exists in the Blood Bank Management System 1.0 within the receiverLogin.php component. The application fails to properly sanitize user-supplied input in SQL queries, allowing an attacker to inject arbitrary SQL code. By manipulating the remail and rpassword fields, an attacker can bypass authentication and gain unauthorized access to the system.

🤖 Analiza AI

Jak działa

Aplikacja nie sanityzuje danych wejściowych dostarczanych przez użytkownika przed ich użyciem w zapytaniach SQL. Atakujący może manipulować wartościami pól remail oraz rpassword w formularzu logowania, wstrzykując dowolny kod SQL. W ten sposób logika uwierzytelniania zostaje obejście, a aplikacja przyznaje dostęp bez znajomości prawidłowych danych logowania.

Skutki

Atakujący może całkowicie pominąć uwierzytelnienie i uzyskać nieautoryzowany dostęp do systemu zarządzania bankiem krwi, co może prowadzić do ujawnienia, modyfikacji lub usunięcia wrażliwych danych pacjentów i dawców.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie parametryzowanych zapytań SQL (prepared statements) oraz ograniczenie publicznego dostępu do interfejsu logowania.