CVE-2026-4574SourceCodester Simple E-learning System 1.0在用户资料更新处理组件中存在安全漏洞。由于对用户输入的'firstName'参数缺乏适当的过滤或验证，导致攻击者可以通过构造恶意SQL语句实施SQL注入攻击。该漏洞允许攻击者在未授权的情况下远程利用，可能导致数据库信息泄露、数据篡改或服务器权限提升，对系统的机密性、完整性和可用性构成威胁。
该漏洞属于典型的SQL注入漏洞，位于SourceCodester Simple E-learning System 1.0的用户资料更新处理程序中。当用户尝试更新个人资料时，后端代码直接将前端传递的`firstName`参数拼接到SQL查询语句中，而未进行任何输入清理或使用参数化查询。攻击者利用此漏洞，可以在`firstName`字段中注入恶意的SQL载荷（如`' OR '1'='1`或联合查询载荷）。由于CVSS向量为AV:N/AC:L/PR:L/UI:N/S:U，攻击者仅需拥有低权限账户即可通过网络发起攻击，无需用户交互。成功利用后，攻击者可以绕过认证限制，提取敏感数据库内容（如管理员凭证），或对数据进行修改和删除。