प्लेटफ़ॉर्म
php
घटक
itsourcecode-construction-management-system
में ठीक किया गया
1.0.1
CVE-2026-5675 describes a SQL Injection vulnerability discovered in itsourcecode Construction Management System, specifically impacting versions 1.0.0 through 1.0. This flaw resides within the parameter handler of the /borrowed_tool.php file, allowing attackers to manipulate the 'emp' argument to inject malicious SQL code. The vulnerability is exploitable remotely and poses a risk of unauthorized data access and modification.
itsourcecode Construction Management System के संस्करण 1.0 में एक SQL इंजेक्शन भेद्यता (vulnerability) की पहचान की गई है। यह भेद्यता /borrowed_tool.php फ़ाइल में, विशेष रूप से Parameter Handler घटक में emp पैरामीटर के प्रबंधन में मौजूद है। एक दूरस्थ हमलावर इस पैरामीटर को हेरफेर करके अंतर्निहित डेटाबेस के खिलाफ दुर्भावनापूर्ण SQL कमांड निष्पादित कर सकता है। भेद्यता को CVSS पैमाने पर 6.3 के रूप में रेट किया गया है, जो मध्यम जोखिम दर्शाता है। सफल शोषण के परिणामस्वरूप संवेदनशील डेटा का प्रकटीकरण, संशोधन या विलोपन हो सकता है, जिससे सिस्टम की अखंडता और गोपनीयता का उल्लंघन हो सकता है। चूंकि शोषण सार्वजनिक है, इसलिए हमले का जोखिम महत्वपूर्ण है और तत्काल ध्यान देने की आवश्यकता है। आधिकारिक फिक्स की कमी स्थिति को और बढ़ा देती है, वैकल्पिक शमन उपायों की आवश्यकता होती है।
itsourcecode Construction Management System 1.0 में SQL इंजेक्शन भेद्यता /borrowed_tool.php फ़ाइल में emp पैरामीटर के हेरफेर के माध्यम से शोषण की जाती है। एक हमलावर इस पैरामीटर में दुर्भावनापूर्ण SQL कोड इंजेक्ट कर सकता है, जिसे तब डेटाबेस के खिलाफ निष्पादित किया जाता है। इस भेद्यता की दूरस्थ प्रकृति का अर्थ है कि एक हमलावर सिस्टम तक नेटवर्क एक्सेस वाले किसी भी स्थान से इसका शोषण कर सकता है। शोषण सार्वजनिक होने का तथ्य यह है कि इस भेद्यता का शोषण करने के लिए पहले से ही उपकरण और तकनीकें मौजूद हैं, जिससे जोखिम काफी बढ़ जाता है। आधिकारिक पैच की कमी का मतलब है कि प्रशासकों को अपने सिस्टम की रक्षा के लिए सक्रिय कदम उठाने की आवश्यकता है।
Organizations utilizing itsourcecode Construction Management System, particularly those with publicly accessible instances and those lacking robust input validation or WAF protection, are at significant risk. Companies relying on the system for critical project management data are especially vulnerable to data breaches and operational disruption.
• php / web:
curl -s -X POST -d "emp=<malicious_sql>" http://your-server.com/borrowed_tool.php | grep -i "error"• generic web:
curl -I http://your-server.com/borrowed_tool.php?emp=<test_sql>• generic web: Examine access logs for requests to /borrowed_tool.php containing suspicious SQL syntax in the 'emp' parameter.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.03% (9% शतमक)
CISA SSVC
CVSS वेक्टर
हालांकि डेवलपर द्वारा कोई आधिकारिक पैच प्रदान नहीं किया गया है, लेकिन itsourcecode Construction Management System 1.0 को चलाने वाले सिस्टम को सुरक्षित रखने के लिए तत्काल शमन उपायों की पुरजोर सिफारिश की जाती है। इन उपायों में, लेकिन यह सीमित नहीं है, दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू करना, डेटाबेस एक्सेस को प्रतिबंधित करना और उपयोगकर्ता खातों पर न्यूनतम विशेषाधिकार के सिद्धांत को लागू करना शामिल है। विशेष रूप से emp पैरामीटर सहित सभी उपयोगकर्ता इनपुट का कठोर सत्यापन और सैनिटाइजेशन महत्वपूर्ण है। जल्द से जल्द सिस्टम के सुरक्षित संस्करण में अपग्रेड करने की पुरजोर सिफारिश की जाती है। संभावित हमलों का पता लगाने और उनका जवाब देने के लिए सिस्टम लॉग की सक्रिय रूप से निगरानी करना भी आवश्यक है। संभावित उल्लंघन के प्रभाव को सीमित करने के लिए नेटवर्क विभाजन पर विचार करें।
Actualice el sistema de gestión de la construcción itsourcecode a una versión corregida. Revise y sanee la entrada del usuario en el archivo borrowed_tool.php para prevenir inyecciones SQL. Implemente validación y escape adecuados para los datos proporcionados por el usuario.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
SQL इंजेक्शन एक सुरक्षा भेद्यता है जो हमलावरों को डेटाबेस द्वारा प्राप्त क्वेरी में हस्तक्षेप करने की अनुमति देती है। यह हमलावरों को उन डेटा तक पहुंचने, संशोधित करने या हटाने की अनुमति दे सकता है जिन्हें वे सामान्य रूप से एक्सेस नहीं कर पाएंगे।
इसका मतलब है कि भेद्यता का शोषण कैसे किया जाए, इस बारे में जानकारी सार्वजनिक रूप से उपलब्ध है, जिससे हमलावरों के लिए इसका फायदा उठाना आसान हो जाता है।
आपको तुरंत शमन उपाय करने चाहिए, जैसे कि WAF को लागू करना, डेटाबेस एक्सेस को प्रतिबंधित करना और उपयोगकर्ता इनपुट को मान्य करना। संभावित हमलों के लिए सिस्टम लॉग की निगरानी करें और जब यह उपलब्ध हो तो सुरक्षित संस्करण में अपग्रेड करें।
वर्तमान में, डेवलपर द्वारा कोई आधिकारिक पैच प्रदान नहीं किया गया है। यह शमन उपायों को और भी महत्वपूर्ण बनाता है।
मजबूत पासवर्ड लागू करें, डेटाबेस एक्सेस को प्रतिबंधित करें, न्यूनतम विशेषाधिकार के सिद्धांत को लागू करें और डेटाबेस सॉफ़्टवेयर को अपडेट रखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।