PHPGurukul 在线课程注册 check_availability.php SQL 注入

在 PHPGurukul Online Course Registration 3.1 中发现了一个 SQL 注入漏洞（CVE-2026-5813）。此漏洞位于 /check_availability.php 文件中，并且可以通过操纵 'cid' 参数触发。攻击者可以利用此漏洞在系统的数据库上执行恶意 SQL 查询，从而可能损害数据的机密性、完整性和可用性。漏洞利用程序的公开可用性加剧了情况，增加了定向攻击的风险。CVSS 严重性评分为 7.3，表明存在高风险。由于没有官方修复程序（fix: none），因此需要立即采取措施来降低危险。

Educational institutions and organizations utilizing PHPGurukul Online Course Registration version 3.1 are at significant risk. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as an attacker could potentially compromise other applications on the same server. Organizations relying on this application for critical course management and student data storage face the highest potential impact.

• php / server:

grep -r 'cid=.*;' /var/log/apache2/access.log
grep -r 'SELECT .* FROM .* WHERE' /var/log/apache2/error.log

• generic web:

curl -I 'http://your-website.com/check_availability.php?cid='; # Check for unusual response headers

1. 2026-04-08Disclosure

   disclosure

1. 已保留2026-04-08
2. 发布日期2026-04-08
3. 修改日期2026-04-09
4. EPSS 更新日期2026-04-16

鉴于开发人员没有提供官方修复程序，减轻 CVE-2026-5813 需要采取积极措施。强烈建议升级到 PHPGurukul Online Course Registration 的最新版本（如果可用）。如果没有更新，则应实施额外的安全控制，例如彻底验证和清理所有用户输入，尤其是 'cid' 参数。实施 Web 应用程序防火墙 (WAF) 可以帮助检测和阻止 SQL 注入尝试。监控数据库活动以查找可疑模式也很重要。考虑网络隔离以限制潜在的违规影响。