Plusieurs failles d'injection SQL découvertes dans une plateforme open source de gestion d'examens

La base de données de vulnérabilités en cybersécurité VulDB a publié trois avis de sécurité le 17 octobre 2026, documentant un ensemble de failles d'injection de langage de requête structurée (SQL) découvertes au sein de la plateforme open source Online-Examination-System, développée par itsmeravitejak. Ces divulgations identifient des vulnérabilités affectant le logiciel dans toutes ses versions jusqu'au commit e6208e630b14657999bbfe4c9912302d2a1e2449. Officiellement répertoriées sous les références CVE-2026-111871, CVE-2026-111872 et CVE-2026-111873, ces faiblesses concernent trois fichiers opérationnels responsables de l'administration des matières, des rapports de base de données et de la gestion asynchrone des examens. Les conclusions indiquent que des entrées non validées traitées par l'application peuvent permettre une manipulation directe des instructions de la base de données sous-jacente, créant des risques de divulgation non autorisée de données et d'altération administrative.

## Faits marquants

- La plateforme de documentation en cybersécurité VulDB a publié des avis concernant trois failles de sécurité liées le 17 octobre 2026. - Les vulnérabilités sont répertoriées sous les entrées officielles CVE-2026-111871, CVE-2026-111872 et CVE-2026-111873. - Le logiciel concerné est le projet open source Online-Examination-System développé par itsmeravitejak, jusqu'au commit git e6208e630b14657999bbfe4c9912302d2a1e2449. - Les failles ciblent trois fichiers applicatifs distincts : subjectsdb.php, database.php et exammanger.php. - Les routines opérationnelles vulnérables incluent la fonction getreport dans database.php et le point de terminaison asynchrone topicslist au sein d'exammanger.php.

## Ce qui s'est passé

Dans une série d'entrées coordonnées sur les vulnérabilités enregistrées le 17 octobre 2026, les analystes de sécurité de VulDB ont documenté trois failles techniques intégrées dans l'application Online-Examination-System. Le code concerné appartient au dépôt public maintenu par itsmeravitejak, évalué jusqu'au hash de commit e6208e630b14657999bbfe4c9912302d2a1e2449.

Le premier avis, documenté sous la référence CVE-2026-111871, identifie une vulnérabilité d'injection SQL située dans le script subjectsdb.php. Selon la documentation technique publiée par VulDB, le fichier gère les opérations liées au stockage et à la modification des enregistrements de matières. Le traitement de paramètres non assainis au sein de ce composant permet d'adjoindre des données externes non autorisées aux instructions de base de données.

Quelques secondes plus tard, une divulgation connexe enregistrée sous la référence CVE-2026-111872 a révélé une faiblesse comparable au sein de database.php. VulDB a rapporté que la vulnérabilité affecte spécifiquement la fonction getreport, un mécanisme utilisé par la plateforme pour interroger, assembler et afficher des métriques de rapport. Lorsque les champs d'entrée transmis à cette fonction ne font l'objet d'aucune validation stricte du type de données ni d'aucun échappement, un attaquant peut ajouter directement des commandes de requête structurée au moteur de base de données backend.

Le troisième avis, répertorié sous la référence CVE-2026-111873, porte sur un point de terminaison asynchrone JavaScript et XML (AJAX) situé dans exammanger.php. Comme le détaille VulDB, la vulnérabilité touche la routine topicslist. Dans la mesure où les points de terminaison asynchrones échangent fréquemment des données en arrière-plan avec les interfaces clientes, des paramètres de requête insuffisamment filtrés transmis via ce point de terminaison permettent à des acteurs externes d'exécuter des instructions de base de données arbitraires.

Les trois rapports de vulnérabilité font remonter le problème de programmation sous-jacent à une isolation insuffisante entre les instructions exécutables et les données fournies par les utilisateurs dans les scripts web PHP hérités. Dans chaque cas, des entrées contrôlées par l'utilisateur peuvent s'échapper de leur limite opérationnelle prévue et forcer l'interpréteur de base de données à exécuter des fragments de requête non autorisés.

## Pourquoi cela compte

L'identification de multiples vulnérabilités d'injection dans des bases de données au sein d'une plateforme d'évaluation éducative présente de graves risques de sécurité pour les établissements universitaires et les centres d'examen qui déploient des logiciels d'examen auto-hébergés. Les plateformes d'évaluation gèrent des flux de travail académiques sensibles, notamment des banques de questions, des feuilles de réponses actives, des métriques de notation des étudiants et des identifiants administratifs. Lorsqu'une plateforme d'évaluation présente des failles d'accès à la base de données non authentifiées ou mal restreintes, l'intégrité de l'ensemble du processus d'examen est remise en question.

Les vulnérabilités d'injection dans les bases de données, classées dans les référentiels du secteur sous l'entrée CWE-89 (Common Weakness Enumeration), permettent à des entités externes de contourner les contrôles d'authentification standard, d'extraire des enregistrements stockés et de modifier le contenu des tables. Dans le cadre d'un examen, un individu exploitant CVE-2026-111871, CVE-2026-111872 ou CVE-2026-111873 pourrait théoriquement récupérer des sujets d'examen non encore publiés avant les sessions prévues. De même, la capacité d'écriture dans la base de données sous-jacente permet la modification illicite des résultats d'épreuves, des relevés de notes des étudiants ou des niveaux d'autorisation des utilisateurs.

Au-delà de la fraude académique, la compromission des bases de données d'étudiants et d'enseignants entraîne une exposition réglementaire et juridique. Dans les juridictions régies par des législations strictes sur la protection de la vie privée, comme l'Union européenne dans le cadre du General Data Protection Regulation ou les États-Unis en vertu du Family Educational Rights and Privacy Act, les organismes éducatifs s'exposent à de lourdes sanctions administratives si les informations personnelles identifiables des étudiants restent vulnérables à une exfiltration due à des défauts logiciels évitables.

## Contexte

L'injection SQL figure parmi les faiblesses de sécurité les plus persistantes du développement de logiciels web depuis plus de deux décennies. Documenté pour la première fois dans la littérature technique à la fin des années 1990, ce schéma de vulnérabilité a constamment occupé une place de premier plan dans le classement Top 10 de l'Open Worldwide Application Security Project des risques critiques pour les applications web. Malgré une documentation abondante et des solutions d'ingénierie bien établies, les applications web conçues en code procédural PHP brut souffrent fréquemment de cette catégorie de défauts.

La mesure d'atténuation reconnue par le secteur contre les injections de langage de requête structurée repose sur les requêtes paramétrées, couramment mises en œuvre via PHP Data Objects ou des requêtes préparées avec l'extension MySQL improved. Lorsque des requêtes préparées sont déployées, le système de gestion de base de données traite les paramètres entrants strictement comme des littéraux de données passifs plutôt que comme de la syntaxe exécutable, annulant toute tentative de modification de requête. Les applications qui s'appuient plutôt sur une concaténation directe de chaînes pour construire des commandes de base de données restent intrinsèquement vulnérables dès lors que les fonctions d'assainissement des entrées sont omises, incomplètes ou contournées.

Le suivi international des failles de sécurité est coordonné par le système Common Vulnerabilities and Exposures, supervisé par la MITRE Corporation sous le parrainage de la Cybersecurity and Infrastructure Security Agency des États-Unis. Les CVE Numbering Authorities autorisées attribuent des identifiants alphanumériques uniques aux failles vérifiées, permettant aux mainteneurs de logiciels, aux opérateurs de réseaux d'entreprise et aux équipes de réponse aux incidents de suivre, répertorier et corriger les faiblesses techniques.

Des plateformes indépendantes et des services d'indexation de sécurité, dont VulDB, répertorient régulièrement les vulnérabilités découvertes par des chercheurs indépendants et des outils automatisés d'analyse de code. Si les grandes plateformes commerciales maintiennent des programmes dédiés de divulgation des vulnérabilités, les utilitaires open source plus modestes et les projets indépendants distribués via des dépôts publics comme GitHub manquent fréquemment de procédures structurées d'examen de sécurité, laissant les déploiements tributaires d'audits de sécurité tiers.

## Réactions

Aucune déclaration publique officielle, aucun avis défensif ni aucun bulletin de sécurité n'a été publié par le mainteneur du projet, itsmeravitejak, en réponse aux divulgations diffusées par VulDB. Les avis initiaux ne comportaient aucun commentaire du propriétaire du dépôt, ni ne faisaient référence à une pull request publique existante résolvant les scripts vulnérables.

Dans la mesure où les projets open source hébergés sur des plateformes collaboratives fonctionnent souvent sans service de presse officiel ni équipe d'intervention dédiée, la communication entourant les mises à jour de sécurité se déroule généralement dans les outils de suivi des problèmes (issue trackers) des dépôts publics ou dans l'historique des commits. Les administrateurs réseau et les équipes techniques universitaires utilisant ce logiciel sont appelés à examiner les installations de leurs serveurs, à appliquer des contrôles d'accès au réseau local et à surveiller l'activité du dépôt en vue des correctifs à venir.

Les analystes en sécurité qui surveillent les vulnérabilités des logiciels éducatifs recommandent fréquemment aux exploitants de systèmes de déployer des couches de protection externes, telles que des pare-feu pour applications web, afin de détecter et de bloquer la syntaxe de requête structurée malformée avant qu'elle n'atteigne les points de terminaison vulnérables sur les serveurs d'applications non corrigés.

## Ce que l'on ignore encore

Plusieurs aspects pratiques concernant la découverte et l'exposition réelle de ces failles restent non vérifiés. Les divulgations initiales de VulDB ne précisent pas si les vulnérabilités ont été mises au jour par une analyse automatisée du code source, des tests d'intrusion manuels ou une exploitation active détectée dans des environnements opérationnels. Par conséquent, on ignore si des acteurs malveillants ont exploité ces points de terminaison spécifiques contre des serveurs d'examen en production.

De plus, les rapports ne quantifient pas le nombre d'institutions, d'écoles ou d'administrateurs individuels qui déploient activement le code source d'Online-Examination-System développé par itsmeravitejak. Si les dépôts git publics indiquent l'historique des révisions du code jusqu'au commit e6208e630b14657999bbfe4c9912302d2a1e2449, le nombre d'installations actives connectées à Internet reste non documenté.

Il n'est pas non plus certain qu'un correctif de sécurité officiel soit intégré dans le dépôt principal ou si les exploitants de systèmes doivent refactoriser manuellement subjectsdb.php, database.php et exammanger.php afin d'implémenter des requêtes de base de données préparées de manière autonome.

## À surveiller

L'évolution principale à surveiller concerne la publication éventuelle par le mainteneur de commits logiciels mis à jour remplaçant l'assemblage dynamique de requêtes par des interactions de base de données paramétrées dans l'ensemble des fichiers affectés. Les utilisateurs du dépôt doivent surveiller les activités de commit postérieures au hash e6208e630b14657999bbfe4c9912302d2a1e2449 pour d'éventuels correctifs de sécurité.

Dans le domaine plus large de la gestion des vulnérabilités, les observateurs attendront la publication des métriques standardisées du Common Vulnerability Scoring System pour CVE-2026-111871, CVE-2026-111872 et CVE-2026-111873. Ces scores de gravité, attribués par des évaluateurs de vulnérabilités et repris par des institutions telles que la National Vulnerability Database des États-Unis, établissent les notations de référence en matière d'exploitabilité et d'impact utilisées par les outils automatisés de contrôle de conformité.

Les équipes de sécurité qui gèrent des environnements d'examen auto-hébergés doivent également surveiller l'apparition éventuelle de scripts publics de preuve de concept (PoC) ciblant le point de terminaison AJAX topicslist dans exammanger.php ou la fonction getreport de database.php, ce qui accroîtrait considérablement l'urgence d'une remédiation manuelle du code.

Ce compte rendu s'appuie sur les rapports techniques de vulnérabilité publiés par VulDB dans ses entrées de catalogue de sécurité le 17 octobre 2026.