halex CourseSEL HTTP GET पैरामीटर IndexController.class.php चेक_सेल एसक्यूएल इंजेक्शन

halex CourseSEL के संस्करण 1.1.0 और उससे पहले में एक SQL इंजेक्शन भेद्यता की पहचान की गई है। यह भेद्यता फ़ाइल Apps/Index/Controller/IndexController.class.php में check_sel फ़ंक्शन में मौजूद है, जो HTTP GET अनुरोधों में seid पैरामीटर के हेरफेर के कारण होती है। एक हमलावर इस भेद्यता का उपयोग डेटाबेस पर दुर्भावनापूर्ण SQL कोड निष्पादित करने के लिए कर सकता है, जिसके परिणामस्वरूप संवेदनशील डेटा का प्रकटीकरण, संशोधन या विलोपन हो सकता है। इस भेद्यता की गंभीरता को CVSS 6.3 के रूप में रेट किया गया है, जो मध्यम जोखिम दर्शाता है। इस सार्वजनिक भेद्यता के शुरुआती प्रकटीकरण के लिए विक्रेता की प्रतिक्रिया न करना स्थिति को बढ़ा देता है, जिससे उपयोगकर्ताओं को महत्वपूर्ण जोखिम होता है। सफल शोषण से CourseSEL डेटाबेस में संग्रहीत डेटा की अखंडता और गोपनीयता से समझौता हो सकता है।

1. आरक्षित2026-04-04
2. प्रकाशित2026-04-05
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-12

चूंकि विक्रेता ने कोई समाधान प्रदान नहीं किया है, इसलिए तत्काल शमन में halex CourseSEL को अक्षम करना या इस भेद्यता को ठीक करने वाले बाद के संस्करण में अपग्रेड करना शामिल है। यदि अपग्रेड संभव नहीं है, तो SQL इंजेक्शन प्रयासों का पता लगाने और ब्लॉक करने में सक्षम वेब एप्लिकेशन फ़ायरवॉल (WAF) जैसे अतिरिक्त सुरक्षा उपायों को लागू करने की सिफारिश की जाती है। इसके अलावा, सभी उपयोगकर्ता इनपुट, विशेष रूप से GET पैरामीटर को सख्ती से मान्य और साफ करना महत्वपूर्ण है ताकि दुर्भावनापूर्ण कोड इंजेक्शन को रोका जा सके। संभावित हमलों का पता लगाने और उनका जवाब देने में मदद करने के लिए सर्वर लॉग की सक्रिय रूप से निगरानी करना भी सहायक हो सकता है। सुरक्षा उल्लंघन के संभावित प्रभाव को सीमित करने के लिए नेटवर्क विभाजन पर विचार करें।