Plataforma
php
Componente
itsourcecode-construction-management-system
Corrigido em
1.0.1
CVE-2026-5675 describes a SQL Injection vulnerability discovered in itsourcecode Construction Management System, specifically impacting versions 1.0.0 through 1.0. This flaw resides within the parameter handler of the /borrowed_tool.php file, allowing attackers to manipulate the 'emp' argument to inject malicious SQL code. The vulnerability is exploitable remotely and poses a risk of unauthorized data access and modification.
Uma vulnerabilidade de injeção SQL foi identificada no sistema de gerenciamento de construção itsourcecode, versão 1.0. A vulnerabilidade reside no arquivo /borrowed_tool.php, especificamente no tratamento do parâmetro emp dentro do componente de gerenciamento de parâmetros. Um atacante remoto pode explorar esta vulnerabilidade manipulando este parâmetro para executar comandos SQL maliciosos no banco de dados subjacente. A gravidade da vulnerabilidade é classificada como 6.3 na escala CVSS, indicando um risco moderado. A exploração bem-sucedida pode resultar na divulgação, modificação ou exclusão de dados confidenciais, comprometendo a integridade e a confidencialidade do sistema. Dado que a exploração é pública, o risco de ataque é significativo e requer atenção imediata. A falta de uma correção oficial agrava a situação, exigindo medidas de mitigação alternativas.
A vulnerabilidade de injeção SQL no itsourcecode Construction Management System 1.0 é explorada através da manipulação do parâmetro emp no arquivo /borrowed_tool.php. Um atacante pode injetar código SQL malicioso neste parâmetro, que é então executado contra o banco de dados. A natureza remota da vulnerabilidade significa que um atacante pode explorá-la de qualquer lugar com acesso à rede ao sistema. O fato de a exploração ser pública significa que já existem ferramentas e técnicas para explorar a vulnerabilidade, aumentando significativamente o risco. A ausência de um patch oficial significa que os administradores devem tomar medidas proativas para proteger seus sistemas.
Organizations utilizing itsourcecode Construction Management System, particularly those with publicly accessible instances and those lacking robust input validation or WAF protection, are at significant risk. Companies relying on the system for critical project management data are especially vulnerable to data breaches and operational disruption.
• php / web:
curl -s -X POST -d "emp=<malicious_sql>" http://your-server.com/borrowed_tool.php | grep -i "error"• generic web:
curl -I http://your-server.com/borrowed_tool.php?emp=<test_sql>• generic web: Examine access logs for requests to /borrowed_tool.php containing suspicious SQL syntax in the 'emp' parameter.
disclosure
Status do Exploit
EPSS
0.03% (percentil 9%)
CISA SSVC
Vetor CVSS
Embora não haja um patch oficial fornecido pelo desenvolvedor, medidas de mitigação imediatas são fortemente recomendadas para proteger os sistemas que executam o itsourcecode Construction Management System 1.0. Essas medidas incluem, mas não se limitam a, implementar um firewall de aplicativos web (WAF) para filtrar tráfego malicioso, restringir o acesso ao banco de dados e aplicar o princípio do menor privilégio às contas de usuário. A validação e sanitização rigorosas de todas as entradas do usuário, especialmente o parâmetro emp, são cruciais. É altamente recomendável atualizar para uma versão mais segura do sistema assim que estiver disponível. Monitorar ativamente os logs do sistema em busca de atividade suspeita também é essencial para detectar e responder a possíveis ataques. Considere a segmentação da rede para limitar o impacto de uma possível violação.
Actualice el sistema de gestión de la construcción itsourcecode a una versión corregida. Revise y sanee la entrada del usuario en el archivo borrowed_tool.php para prevenir inyecciones SQL. Implemente validación y escape adecuados para los datos proporcionados por el usuario.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Injeção SQL é uma vulnerabilidade de segurança que permite que atacantes interfiram nas consultas que um banco de dados recebe. Pode permitir que atacantes visualizem dados que não deveriam, modifiquem dados ou até mesmo excluam dados.
Significa que as informações sobre como explorar a vulnerabilidade estão publicamente disponíveis, facilitando para os atacantes aproveitarem-na.
Você deve tomar medidas de mitigação imediatas, como implementar um WAF, restringir o acesso ao banco de dados e validar as entradas do usuário. Monitore os logs do sistema em busca de atividade suspeita e atualize para uma versão mais segura assim que estiver disponível.
Atualmente, não há um patch oficial fornecido pelo desenvolvedor. Isso torna as medidas de mitigação ainda mais importantes.
Implemente senhas fortes, limite o acesso ao banco de dados, aplique o princípio do menor privilégio e mantenha o software do banco de dados atualizado.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.