CVE-2026-9583 CVSS 4.3 中危

CVE-2026-9583 SourceCodester CET信息泄露漏洞

披露日期: 2026-05-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-9583

漏洞类型

信息泄露

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

SourceCodester CET Automated Grading System with AI Predictive Analytics

漏洞概述

SourceCodester CET Automated Grading System with AI Predictive Analytics 1.0版本被发现存在一处安全漏洞。该漏洞位于/index.php文件的SQL处理组件中，由于对用户输入的验证不足，导致攻击者可以通过操纵请求参数触发数据库错误。攻击者利用此漏洞可在无需用户交互的情况下，远程获取敏感的系统信息。目前漏洞细节及利用代码已公开，对运行该版本系统的用户构成潜在风险。

技术细节

该漏洞的核心在于SourceCodester CET Automated Grading System的SQL Handler组件未能妥善处理异常输入。具体而言，攻击者可以通过向/index.php发送精心构造的恶意数据包，破坏原有SQL查询的语法结构。由于应用程序缺乏完善的异常捕获机制或直接将数据库错误信息返回给客户端，攻击者可以从错误响应中提取出数据库的版本、表结构、字段名等敏感信息。虽然该漏洞本身不直接导致数据被篡改或删除，但获取到的数据库架构信息极大地降低了后续进行SQL注入攻击的难度。漏洞利用门槛较低，仅需低权限账户即可通过网络发起攻击，且无需受害者进行任何交互操作。

攻击链分析

STEP 1

1. 侦察与发现

攻击者识别出目标运行的是SourceCodester CET Automated Grading System 1.0版本。

STEP 2

2. 构造恶意请求

攻击者向/index.php发送包含特殊字符（如单引号）的参数，旨在干扰SQL查询逻辑。

STEP 3

3. 触发错误响应

服务器端未能正确处理异常，返回包含数据库内部结构或调试信息的错误消息。

STEP 4

4. 信息收集

攻击者分析错误响应，提取数据库表名、列名等信息，为后续攻击做准备。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2026-9583 PoC - Information Disclosure via Error Message
# Target: SourceCodester CET Automated Grading System 1.0

TARGET_URL="http://target-ip/index.php"
# Payload designed to trigger SQL syntax error
PAYLOAD="' OR 1=1-- -"

echo "[*] Attempting to trigger information disclosure..."

curl -s -X POST "$TARGET_URL" \
  -d "sql_handler_input=$PAYLOAD" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  | grep -Ei "syntax error|mysql_fetch|warning|error"

echo "[*] If database errors appear, the system is vulnerable."

影响范围

SourceCodester CET Automated Grading System with AI Predictive Analytics 1.0

防御指南

临时缓解措施

建议立即检查并关闭应用程序的调试模式，确保前端页面不会直接展示后端的SQL错误信息。可以配置服务器在发生500错误时返回统一的静态错误页面。同时，开发人员应在代码层面增加对SQL Handler组件的异常捕获逻辑，对所有外部输入参数进行严格的格式验证。如果暂时无法修复，建议通过Web应用防火墙（WAF）规则拦截包含特殊SQL字符的请求。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表