CVE-2026-6190itsourcecode Construction Management System 1.0版本中存在一个SQL注入漏洞。该漏洞源于文件/employees.php中的未知函数未能正确过滤用户输入的Name参数。由于缺乏有效的输入验证,攻击者可以通过网络远程发起攻击,无需用户交互即可利用此漏洞。成功利用该漏洞可能导致数据库信息泄露(低机密性影响)、数据篡改(低完整性影响)以及服务中断(低可用性影响)。目前该漏洞的利用代码已公开,建议相关用户尽快采取措施。
该漏洞位于itsourcecode Construction Management System 1.0的/employees.php文件中。核心问题在于系统在处理用户输入时缺乏有效的安全机制,特别是在处理“Name”参数时,未经过滤或转义便直接拼接到SQL查询语句中。这种编程错误允许攻击者通过构造包含特定SQL语法(如单引号、注释符、UNION SELECT等)的恶意输入,从而改变原始查询逻辑。根据CVSS v3.1评分向量(AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L),攻击者可以通过网络发起攻击,利用难度较低,且仅需低权限账号即可在无用户交互的情况下完成利用。虽然漏洞对系统的影响范围未扩散到其他组件,但仍会导致数据库敏感信息泄露、数据被非法篡改或删除。鉴于漏洞利用代码已公开,风险处于较高水平。