Institute-of-Current-Students SQL注入漏洞
漏洞信息
漏洞名称： Institute-of-Current-Students SQL注入漏洞
漏洞编号：
- CVE： CVE-2025-52399
漏洞类型： SQL注入
漏洞等级： 高危
漏洞描述： ### 受影响产品
Institute-of-Current-Students是一个基于PHP的学生管理系统，主要用于教育机构管理学生信息。该系统广泛应用于学校和教育机构，用于学生信息的录入、查询和管理。由于其广泛的应用，该系统的安全性直接关系到大量学生和教职工的个人信息安全。
漏洞说明
该漏洞存在于/loginlinkfaculty端点的fid参数中，由于未对用户输入进行适当的过滤和转义，攻击者可以通过构造恶意的SQL语句，实现SQL注入攻击。这种类型的漏洞属于SQL注入漏洞，其技术根源在于应用程序未对用户输入进行严格的验证和过滤，直接将用户输入拼接到SQL查询中，导致攻击者可以执行任意的SQL命令。
影响分析
该漏洞允许远程攻击者在无需认证的情况下，通过发送特制的HTTP请求，执行任意的SQL命令。攻击者可以利用此漏洞绕过认证机制，获取数据库中的敏感信息，如学生和教职工的个人信息，甚至可能进一步利用这些信息进行更深层次的攻击。由于漏洞的利用不需要任何形式的认证，且可以通过自动化工具进行批量攻击，因此其潜在的安全风险非常高。
产品名称： Institute-of-Current-Students
影响版本： 1.0
来源： https://github.com/BX199/CVE-2025-52399-SQLi-Institute-of-Current-Students
类型： CVE-2025:github search
仓库文件
- README.md
来源概述
CVE-2025-52399 - SQL Injection in Institute of Current Students
Summary
The loginlinkfaculty endpoint in the Institute-of-Current-Students application is vulnerable to SQL Injection via the fid POST parameter. The parameter is not properly sanitized before being used in a SQL query, allowing remote attackers to execute arbitrary SQL commands.
- Vulnerability Type: SQL Injection
- Affected Component:
/loginlinkfaculty(POST) - Affected Parameter:
fid - Authentication: Not required
- Impact: Authentication bypass, data extraction
- Tested On: Localhost
- Database:
icsnew - Version: 1.0
PoC
HTTP Request
http
POST /Institute-of-Current-Students/loginlinkfaculty HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
fid=-1’+OR+321=6+AND+000942=000942–&pass=example
Payload Result
✅ -1' OR 3*2*1=6 AND 000942=000942 -- → TRUE
❌ -1' OR 2*3=4 AND 000942=000942 -- → FALSE
Database Extraction
SELECT database(); – returns ‘icsnew’
References
Discoverer
Isroil Mustafoqulov