CVE-2026-103116
ŚrednieCVSS 6.3Streszczenie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja DBQuery w pliku functions/GetStuListFnc.php komponentu Student List Search Endpoint pozwala na manipulację argumentem LO_sort, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
SQL Injection może umożliwić atakującemu nieautoryzowany dostęp do danych uczniów lub innych informacji w bazie.
Rekomendacja
Zaktualizuj openSIS-Classic do wersji z poprawką lub zastosuj parametryzowane zapytania.
Inne podatności w OS4ED openSIS-Classic
Zobacz wszystkie- CVE-2026-103117Średnie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja db_properties w pliku functions/DatabaseInc.php komponentu Save Data Handler pozwala na manipulację argumentem values, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-103115Średnie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Nieznana funkcja w pliku functions/CustomFieldsFnc.php komponentu Student Search pozwala na manipulację argumentem cust, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-103114Średnie
Podatność SQL injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja DBQuery_assignment w pliku modules/grades/Assignments.php (komponent Assignment Management Endpoint) pozwala na manipulację argumentem Tables, co umożliwia zdalny atak. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in OS4ED openSIS-Classic up to 9.3. This impacts the function DBQuery of the file functions/GetStuListFnc.php of the component Student List Search Endpoint. This manipulation of the argument LO_sort causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS