CVE-2025-69991

SQL Injection w Phpgurukul News Portal V4.1 (check_availablity.php)

CVSS 9.8v3.1pub. 2026-01-13upd. 2026-01-16

Phpgurukul News Portal w wersji V4.1 zawiera krytyczną podatność typu SQL Injection w pliku check_availablity.php. Umożliwia ona nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań SQL bezpośrednio na bazie danych aplikacji.

▸ Pokaż oryginał (EN)

phpgurukul News Portal Project V4.1 is vulnerable to SQL Injection in check_availablity.php.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych do zapytań SQL w pliku check_availablity.php (CWE-89). Atakujący może wstrzyknąć dowolny kod SQL poprzez sieć, bez konieczności posiadania konta ani interakcji ze strony użytkownika. Wektor ataku sieciowy przy niskiej złożoności (AC:L, PR:N, UI:N) oznacza, że exploit jest trywialny do przeprowadzenia przez każdą osobę z dostępem do aplikacji.

Skutki

Atakujący może uzyskać pełny dostęp do bazy danych (odczyt, modyfikacja, usunięcie danych), co obejmuje potencjalną kradzież danych użytkowników, haseł i treści portalu, a także możliwość przejęcia kontroli nad aplikacją lub serwerem bazy danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu do aplikacji oraz wdrożenie reguł WAF (firewall aplikacyjnego) blokujących próby SQL Injection.

Kogo dotyczy

Phpgurukul News Portal Project w wersji V4.1

Uwagi

Szczegóły techniczne podatności wraz z dowodem koncepcji (proof-of-concept) zostały opublikowane w referencjach GitHub. Podatność nie figuruje w katalogu CISA KEV.