CVE-2025-51567
KrytyczneStreszczenie
Podatność SQL Injection na stronie /exam/user/profile.php w kashipara Online Exam System V1.0. Atakujący zdalnie może wykonać dowolne polecenia SQL, uzyskując nieautoryzowany dostęp do bazy danych przez parametry rname, rcollage, rnumber, rgender i rpassword w żądaniu POST.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych, zmodyfikować bazę lub ominąć uwierzytelnianie, co stanowi poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zastosuj poprawki lub użyj sparametryzowanych zapytań SQL, a także ogranicz dostęp do aplikacji.
Oryginalny opis (angielski, źródło NVD)
A SQL Injection was found in the /exam/user/profile.php page of kashipara Online Exam System V1.0, which allows remote attackers to execute arbitrary SQL command to get unauthorized database access via the rname, rcollage, rnumber, rgender and rpassword parameters in a POST HTTP request.