شناسایی آسیب‌پذیری SQL Injection در محصولات سیستم استخدام krupalshah و EmployeeRecruitmentSystem

یک آسیب‌پذیری از نوع SQL Injection (CWE-89) در سیستم استخدام krupalshah (Employee Recruitment System) شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت (Unauthenticated) و از راه دور، دستورات مخرب خود را در پایگاه داده تزریق کنند.

جزئیات فنی و نحوه اکسپلویت

این آسیب‌پذیری در کامپوننت ثبت‌نام (Registration) و در مسیر /source/registerform3.php قرار دارد. مهاجم می‌تواند با ارسال مقادیر دستکاری‌شده در پارامتر pemail، کوئری‌های پایگاه داده را تحت تأثیر قرار دهد. با توجه به بردار CVSS (AV:N/AC:L/PR:N/UI:N)، این حمله نیازی به تعامل کاربر (User Interaction) یا داشتن سطح دسترسی بالا ندارد و از طریق شبکه قابل انجام است.

چالش‌های مدیریت و وضعیت محصول

نکته بسیار مهم در مورد این آسیب‌پذیری، وضعیت چرخه حیات (Lifecycle) محصول است. سازنده اعلام کرده است که این محصول دیگر پشتیبانی نمی‌شود (End-of-Life) و از مدل انتشار Rolling Releases استفاده می‌کند. این بدان معناست که هیچ نسخه مشخص یا وصله امنیتی (Patch) رسمی برای رفع این مشکل منتشر نخواهد شد.

توصیه‌های امنیتی

از آنجایی که امکان اعمال وصله وجود ندارد، مدیران سیستم باید اقدامات زیر را در دستور کار قرار دهند:

• بازنشسته کردن (Retirement): اگر این سیستم برای عملیات حیاتی نیست، بهترین راه حذف کامل آن است.
• محدودسازی دسترسی: دسترسی به مسیر /source/registerform3.php را تنها به شبکه‌ها یا کاربران مورد اعتماد محدود کنید.
• مانیتورینگ: فعالیت‌های غیرعادی در پایگاه داده و لاگ‌های مربوط به فرم ثبت‌نام را به دقت رصد کنید.

به‌روزرسانی (اکتبر 25, 2026 — ThreatCluster)

به‌روزرسانی: آسیب‌پذیری مشابهی در محصول دیگر این شرکت تحت عنوان EmployeeRecruitmentSystem نیز یافت شده است. این نقص امنیتی با شناسه CVE-2026-116049 در فایل /source/registerform2.php و در بخش Registration Wizard قرار دارد.

این آسیب‌پذیری از طریق تابع mysql_query و با دستکاری آرگومان‌هایی نظیر university، institute، branch، degree، status، cpi، semester و experience امکان‌پذیر است. از آنجایی که اکسپلویت (Exploit) این آسیب‌پذیری منتشر شده است، مهاجمان می‌توانند به‌صورت از راه دور (Remote) به پایگاه داده نفوذ کنند.

به‌روزرسانی (اکتبر 25, 2026 — ThreatCluster)

به‌روزرسانی: این آسیب‌پذیری اکنون با شناسه CVE-2026-116048 رسمی شده است. تحلیل‌های فنی نشان می‌دهد که نقص امنیتی در تابع mysql_query در فایل /source/registerform1.php (مربوط به کامپوننت Registration) قرار دارد.

مهاجمان می‌توانند با دستکاری پارامترهای زیر، یک حمله SQL Injection از راه دور انجام دهند:

• firstname، middlename، lastname
• gender، birthdate
• state، statespecify، city، cityspecify

با توجه به انتشار عمومی Exploit، این آسیب‌پذیری دارای سطح شدت HIGH بوده و ریسک دسترسی غیرمجاز به پایگاه داده را به‌شدت افزایش می‌دهد.