شناسایی آسیب‌پذیری SQL Injection در محصولات سیستم Performance Indicator شرکت SourceCodester

یک آسیب‌پذیری از نوع SQL Injection (SQLi) در نسخه 1.0 نرم‌افزار Performance Indicator متعلق به شرکت SourceCodester شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا با ارسال درخواست‌های دستکاری شده به نقطه انتهایی (Endpoint) /opils/staff/edit_dealer.php، دستورات مخرب SQL را از طریق پارامتر Contact تزریق کنند.

جزئیات فنی و نحوه حمله

این آسیب‌پذیری (CWE-89) ناشی از عدم پاک‌سازی (Sanitization) ورودی‌های کاربر پیش از استفاده در پرس‌وجوهای پایگاه داده است. با توجه به بردار CVSS، این حمله می‌تواند به صورت از راه دور (Remote) و بدون نیاز به احراز هویت (Unauthenticated) انجام شود، هرچند مسیر فایل staff نشان می‌دهد که این بخش احتمالاً در محیط‌های مدیریتی قرار دارد. مهاجم می‌تواند با تزریق کدهای SQL، داده‌های موجود در پایگاه داده، از جمله سوابق نمایندگان (Dealer records)، را بخواند یا در آن‌ها تغییر ایجاد کند.

وضعیت اکسپلویت و تأثیر

• سطح تأثیر: تأثیر بر محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) در سطح پایین (Low) ارزیابی شده است.
• وضعیت اکسپلویت: یک نمونه اثبات مفهوم (PoC) عمومی در GitHub وجود دارد، اما شواهدی از بهره‌برداری گسترده یا خودکار در محیط‌های واقعی مشاهده نشده است.
• پیچیدگی: سطح پیچیدگی حمله پایین (Low Complexity) گزارش شده است.

توصیه‌های امنیتی و مقابله

در حال حاضر وصله (Patch) رسمی برای این نسخه منتشر نشده است. متخصصان توصیه می‌کنند اقدامات زیر را انجام دهند:

• استفاده از پرس‌وجوهای پارامتریزه شده (Parameterized Queries) یا Prepared Statements برای جلوگیری از تزریق کد.
• محدود کردن دسترسی به مسیرهای حساس مانند /opils/staff/ تنها به شبکه‌های مدیریتی مورد اعتماد.
• اجبار به استفاده از احراز هویت (Authentication) قوی برای تمامی بخش‌های مدیریتی سیستم.

به‌روزرسانی (اکتبر 25, 2026 — Vuln Today)

به‌روزرسانی: آسیب‌پذیری جدیدی از نوع SQL Injection با شناسه CVE-2026-116060 در محصول Performance Indicator System نسخه 1.0 از شرکت SourceCodester شناسایی شده است. این نقص در پارامتر Contact در مسیر /opils/staff/adddealer.php قرار دارد که اجازه می‌دهد مهاجم با ارسال ورودی‌های دستکاری‌شده، پرس‌وجوهای (SQL queries) پایگاه داده را تغییر دهد.

این آسیب‌پذیری دارای پیچیدگی پایین (Low Complexity) است و از طریق شبکه قابل دسترسی می‌باشد. با وجود اینکه امتیاز CVSS آن 6.9 برآورد شده، اما به دلیل ماهیت آموزشی و محدود بودن کاربرد این نرم‌افزار، سطح خطر آن در محیط‌های عملیاتی بزرگ کمتر است. با این حال، وجود یک PoC عمومی (Proof of Concept) ریسک بازتولید حمله را افزایش می‌دهد.

برای مقابله با این تهدید، توصیه می‌شود از Prepared Statements یا Parameterized Queries استفاده شود. همچنین محدود کردن دسترسی به مسیرهای مدیریتی (مانند /staff/) و استفاده از WAF برای فیلتر کردن کاراکترهای خاص SQL می‌تواند راهکار موقتی موثری باشد.