平台
php
组件
itsourcecode-construction-management-system
修复版本
1.0.1
CVE-2026-5620 是一个安全漏洞，影响 itsourcecode Construction Management System 1.0.0 版本。该漏洞存在于 /borrowedequipreport.php 文件中，可能导致 SQL 注入。远程攻击者可以利用此漏洞，已公开披露。
在 itsourcecode Construction Management System 1.0 版本中发现了一个 SQL 注入漏洞。该漏洞被标记为 CVE-2026-5620，影响了 /borrowedequipreport.php 文件中一个未知的函数，特别是 Parameter Handler 组件。对 'Home' 参数的操纵允许攻击者注入恶意 SQL 代码。该漏洞在 CVSS 规模上评分为 6.3，表明存在中等风险。远程利用是可能的，这会大大增加使用此系统的组织的风险。公开披露的漏洞意味着已经有工具和技术可用于执行攻击，这需要立即采取行动。
该漏洞存在于 /borrowedequipreport.php 文件中，特别是 Parameter Handler 组件中 'Home' 参数的处理。攻击者可以通过发送包含在 'Home' 参数中注入的 SQL 代码的恶意 HTTP 请求来利用此漏洞。此注入代码可用于访问、修改或删除底层数据库中的数据。由于利用是远程的，因此攻击者无需物理访问服务器即可破坏系统。公开披露的漏洞便于创建用于利用漏洞的自动化工具，从而增加了大规模攻击的风险。缺乏官方修复加剧了这种情况，迫使组织实施临时缓解措施。
Organizations utilizing itsourcecode Construction Management System versions 1.0.0–1.0, particularly those with publicly accessible instances, are at risk. Shared hosting environments where multiple users share the same database are especially vulnerable, as a compromise of one user's account could potentially expose data for other users.
• php: Examine web server access logs for requests to /borrowedequipreport.php with unusual or malformed parameters in the Home variable. Look for patterns indicative of SQL injection attempts (e.g., ' OR 1=1 --).
grep 'borrowed_equip_report.php.*Home=[^a-zA-Z0-9]' /var/log/apache2/access.logdisclosure
漏洞利用状态
EPSS
0.04% (11% 百分位)
CISA SSVC
CVSS 向量
目前，itsourcecode 尚未为其提供 CVE-2026-5620 的官方修复程序。立即的缓解措施包括隔离受影响的系统、限制网络访问以及积极监控日志以查找可疑活动。强烈建议直接联系 itsourcecode 以请求安全更新。同时，实施具有特定规则的 Web 应用程序防火墙 (WAF)，以防止 /borrowedequipreport.php 文件中的 SQL 注入，可以帮助降低风险。此外，审查和加强数据库安全策略对于限制成功利用的潜在影响至关重要。一旦可用，升级到系统的更安全版本是最终解决方案。
Actualice el sistema de gestión de la construcción itsourcecode a una versión corregida. Verifique si el proveedor ha lanzado una actualización de seguridad que solucione la vulnerabilidad de inyección SQL en el archivo /borrowed_equip_report.php. Si no hay una actualización disponible, considere implementar medidas de seguridad adicionales, como la validación y el saneamiento de las entradas del usuario, para mitigar el riesgo.
漏洞分析和关键警报直接发送到您的邮箱。
SQL 注入是一种攻击技术，允许攻击者干扰 Web 应用程序对其数据库执行的查询。它可能允许攻击者查看他们没有授权访问的数据、修改数据或删除数据。
如果您正在使用 itsourcecode Construction Management System 版本 1.0，则您很可能容易受到攻击。监控您的安全日志，查找 SQL 注入尝试。
隔离受影响的系统、更改数据库密码并联系安全专业人员进行全面评估。
有一些漏洞扫描器可以检测 SQL 注入。您还可以使用渗透测试工具来模拟攻击并评估您系统的安全性。
您可以在漏洞数据库（例如国家漏洞数据库 (NVD)）和其他在线安全资源中找到有关此漏洞的更多信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。