CVE-2025-12939CVE-2025-12939是SourceCodester Interview Management System 1.0版本中的一个SQL注入漏洞。该漏洞存在于/addCandidate.php文件的candName参数中，攻击者可以通过构造恶意SQL语句来操控数据库查询。由于漏洞可通过远程利用，且不需要高权限认证，因此存在被恶意利用的风险。攻击成功后，攻击者可能获取敏感数据库信息，包括用户数据、业务数据等。该漏洞已被公开披露并出现相关利用代码，建议相关用户尽快采取防护措施。
该SQL注入漏洞源于addCandidate.php文件对用户输入的candName参数缺乏充分的输入验证和参数化查询处理。攻击者可以在candName参数中注入任意SQL语句，如使用UNION SELECT、布尔盲注或时间盲注等技术来提取数据库信息。漏洞利用无需高权限认证，攻击者只需拥有基本的用户账户即可发起攻击。由于参数未经过滤直接拼接到SQL查询中，攻击者可以绕过认证机制并获取未授权的数据库访问权限。