Plateforme
php
Composant
eclass-platform
Corrigé dans
2.25.10.2.1
La vulnérabilité CVE-2019-9885 est une faille d'injection SQL critique affectant la plateforme eClass. Cette faille permet à un attaquant d'exécuter des commandes SQL arbitraires, compromettant potentiellement l'intégrité et la confidentialité des données. Les versions de eClass affectées sont celles inférieures ou égales à 2.25.10.2.1. Une correction est disponible dans la version 2.25.10.2.1.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'injecter du code SQL malveillant via le paramètre StudentID dans le fichier /admin/academic/studenview_left.php. Cela peut conduire à la lecture, à la modification ou à la suppression de données sensibles stockées dans la base de données eClass, telles que les informations sur les étudiants, les enseignants et les cours. L'attaquant pourrait également obtenir un accès non autorisé à d'autres fonctionnalités de l'application, voire compromettre l'ensemble du serveur. Une exploitation réussie pourrait également permettre l'exécution de commandes système, en fonction des privilèges de l'utilisateur de la base de données. Bien qu'il n'y ait pas de rapports d'exploitation publique à ce jour, la gravité critique de la vulnérabilité et sa facilité d'exploitation potentielle en font une cible attrayante pour les attaquants.
La vulnérabilité CVE-2019-9885 a été divulguée publiquement le 25 juillet 2019. Bien qu'il n'y ait pas de rapports d'exploitation active confirmés à ce jour, la vulnérabilité est considérée comme critique en raison de sa facilité d'exploitation et de son impact potentiel. Aucun PoC public n'a été largement diffusé, mais la nature de l'injection SQL rend son exploitation relativement simple pour les attaquants expérimentés. La vulnérabilité n'est pas répertoriée sur le KEV de CISA.
Educational institutions and organizations utilizing the eClass platform for student management are at significant risk. Specifically, those running legacy installations of eClass prior to version 2.25.10.2.1 are highly vulnerable. Shared hosting environments where multiple eClass instances reside on the same server are also at increased risk, as a compromise of one instance could potentially impact others.
• php: Examine web server access logs for requests to /admin/academic/studenview_left.php with unusual or malformed StudentID parameters containing SQL keywords (e.g., SELECT, UNION, DROP).
• database (mysql): If database access is possible, check for unauthorized database users or unusual table modifications that could indicate exploitation.
• generic web: Use curl to test the /admin/academic/studenview_left.php endpoint with various SQL injection payloads to observe error responses or unexpected behavior.
curl 'http://example.com/admin/academic/studenview_left.php?StudentID=1%20UNION%20SELECT%201,2,3' disclosure
Statut de l'Exploit
EPSS
0.63% (percentile 70%)
Vecteur CVSS
La mitigation principale consiste à mettre à jour la plateforme eClass vers la version 2.25.10.2.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement le fichier /admin/academic/studenview_left.php ou de restreindre l'accès à ce fichier aux seuls utilisateurs autorisés. En attendant la mise à jour, une solution de contournement pourrait consister à implémenter une validation stricte des entrées utilisateur pour le paramètre StudentID, en utilisant des listes blanches ou des expressions régulières pour s'assurer que seules les données valides sont acceptées. Il est également conseillé de surveiller les journaux d'accès et d'erreurs pour détecter toute activité suspecte. Après la mise à jour, vérifiez l'intégrité des données et testez les fonctionnalités critiques pour confirmer que la vulnérabilité a été corrigée.
Mettez à jour la plateforme eClass à la version 2.25.10.2.1 ou supérieure. Cette mise à jour corrige la vulnérabilité d'injection SQL (SQL Injection) dans le paramètre StudentID de /admin/academic/studenview_left.php.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2019-9885 is a critical SQL Injection vulnerability in eClass platform versions up to 2.25.10.2.1, allowing attackers to execute SQL commands via a vulnerable parameter.
You are affected if you are running eClass platform versions prior to 2.25.10.2.1. Immediately check your version and upgrade if necessary.
Upgrade to eClass platform version 2.25.10.2.1 or later to resolve this vulnerability. Implement input validation as a temporary workaround if upgrading is not immediately possible.
While no active exploitation campaigns have been publicly reported, the vulnerability's severity and ease of exploitation make it a significant risk.
Refer to the eClass security advisories on their official website for detailed information and updates regarding CVE-2019-9885.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.