CVE-2026-5179是在SourceCodester Simple Doctors Appointment System 1.0中发现的一个SQL注入漏洞。该漏洞影响/admin/login.php文件的未知部分。通过操纵Username参数，攻击者可以远程执行SQL注入攻击。目前，该漏洞的利用代码已公开，可能被恶意利用。官方尚未发布修复补丁。
在 SourceCodester Simple Doctors Appointment System 1.0 中检测到 /admin/login.php 文件的 SQL 注入漏洞。 此漏洞允许远程攻击者操纵 'Username' 参数，在系统数据库上执行恶意 SQL 代码。 潜在影响严重，可能包括从数据库中提取敏感数据，例如用户名、密码、患者数据和预约记录。 此外，攻击者可能修改或删除数据，从而损害系统的完整性和数据保密性。 漏洞利用公开意味着攻击者可以轻松访问利用漏洞所需的信息，从而大大增加了风险。 缺乏官方修复（fix）进一步加剧了情况，需要立即采取缓解措施。
该漏洞位于 /admin/login.php 文件中，特别是 'Username' 参数的处理方式。 攻击者可以在此参数中注入恶意 SQL 代码，该代码随后将在数据库上执行。 漏洞利用公开意味着有可用的工具和技术来促进攻击。 SQL 注入的远程执行允许攻击者从任何具有系统托管位置的网络访问权限的位置利用该漏洞。 输入验证或清理不足是此漏洞的根本原因。 关于此漏洞的信息已公开，这增加了攻击者利用其可能性的可能性。
Small to medium-sized clinics and healthcare providers using the Simple Doctors Appointment System are at significant risk. Specifically, those running unpatched instances of version 1.0 or those relying solely on default configurations without implementing additional security measures are particularly vulnerable. Shared hosting environments where multiple clients share the same server resources also increase the potential for lateral movement and broader impact.
• php / web:
grep -r "mysql_query" /var/www/html/• generic web:
curl -I 'http://your-target-domain.com/admin/login.php?Username='• generic web:
curl 'http://your-target-domain.com/admin/login.php?Username='; catdisclosure
漏洞利用状态
EPSS
0.04% (12% 百分位)
CISA SSVC
由于开发人员没有提供官方修复程序，因此立即缓解措施包括将 Simple Doctors Appointment System 从网络断开，以防止未经授权的访问。 强烈建议升级到更安全的系统版本，如果可用。 同时，可以实施额外的安全措施，例如限制数据库访问、实施防火墙和入侵检测系统，以及持续监控系统日志以查找可疑活动。 进行彻底的安全审计以识别和纠正其他潜在漏洞至关重要。 向用户和患者沟通潜在风险以及采取的措施也是事件响应的重要组成部分。
更新到系统的已修补版本或应用必要的安全措施以防止 SQL 注入 (SQL Injection)。在使用用户输入查询数据库之前，对其进行验证和清理。
漏洞分析和关键警报直接发送到您的邮箱。
SQL 注入是一种攻击类型，允许攻击者将恶意 SQL 代码注入到应用程序中，以访问或操作数据库。
这意味着有关如何利用漏洞的信息已公开，这使得攻击者更容易使用它。
立即将系统从网络断开，并查找安全更新或更安全的替代方案。
目前，开发人员没有提供官方修复程序。
限制数据库访问，实施防火墙，监控系统日志并进行安全审计。
CVSS 向量