Institute-of-Current-Students SQL注入漏洞
漏洞信息
漏洞名称： Institute-of-Current-Students SQL注入漏洞
漏洞编号：
- CVE： CVE-2025-52399
漏洞类型： SQL注入
漏洞等级： 高危
漏洞描述： ### 受影响产品
Institute-of-Current-Students是一个用于当前学生管理的应用程序，通常部署在教育机构的内部网络中，用于学生和教职工的信息管理。该应用程序的1.0版本中存在SQL注入漏洞，影响了广泛使用该系统的教育机构。
漏洞解释
该漏洞属于SQL注入类型，具体存在于/loginlinkfaculty端点的fid POST参数中。由于应用程序未对用户输入的fid参数进行适当的清理和验证，攻击者可以通过构造恶意的SQL语句，绕过身份验证或提取数据库中的敏感信息。这种漏洞的根本原因在于应用程序直接将用户输入拼接到SQL查询中，没有使用参数化查询或其他安全措施来防止SQL注入。
影响分析
此漏洞允许远程攻击者在无需任何身份验证的情况下执行任意SQL命令，可能导致身份验证绕过、敏感数据泄露（如学生和教职工的个人信息）甚至数据库的完全控制。由于漏洞存在于登录功能中，攻击者可以轻易地自动化攻击过程，对受影响系统造成严重的安全威胁。此外，由于该漏洞的利用门槛较低，且影响范围广泛，因此被评为高危漏洞。
产品名称： Institute-of-Current-Students
影响版本： 1.0
来源： https://github.com/Userr404/CVE-2025-52399-SQLi-Institute-of-Current-Students
类型： CVE-2025:github search
仓库文件
- README.md
来源概述
CVE-2025-52399 - SQL Injection in Institute of Current Students
Summary
The loginlinkfaculty endpoint in the Institute-of-Current-Students application is vulnerable to SQL Injection via the fid POST parameter. The parameter is not properly sanitized before being used in a SQL query, allowing remote attackers to execute arbitrary SQL commands.
- Vulnerability Type: SQL Injection
- Affected Component:
/loginlinkfaculty(POST) - Affected Parameter:
fid - Authentication: Not required
- Impact: Authentication bypass, data extraction
- Tested On: Localhost
- Database:
icsnew - Version: 1.0
PoC
HTTP Request
http
POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
fid=-1’+OR+321=6+AND+000942=000942–&pass=example
Payload Result
✅ -1' OR 3*2*1=6 AND 000942=000942 -- → TRUE
❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSE
Database Extraction
SELECT database(); – returns ‘icsnew’
References
Discoverer
Isroil Mustafoqulov