В открытой платформе для управления экзаменами выявлены множественные SQL-инъекции

База данных уязвимостей кибербезопасности VulDB опубликовала 17 октября 2026 года три бюллетеня безопасности, зафиксировав группу уязвимостей внедрения кода на языке структурированных запросов (SQL-инъекций), обнаруженных в открытой платформе Online-Examination-System разработчика itsmeravitejak. В отчетах указано, что уязвимости затрагивают программное обеспечение во всех версиях вплоть до коммита e6208e630b14657999bbfe4c9912302d2a1e2449. Недостатки, официально внесенные в каталог под идентификаторами CVE-2026-111871, CVE-2026-111872 и CVE-2026-111873, охватывают три рабочих файла, отвечающих за администрирование предметов, формирование отчетов из базы данных и асинхронное управление экзаменами. Полученные данные свидетельствуют о том, что непроверенные входные данные, обрабатываемые приложением, могут позволить напрямую манипулировать инструкциями серверной базы данных, создавая риски несанкционированного раскрытия информации и вмешательства на административном уровне.

## Key facts

- Платформа документации по кибербезопасности VulDB опубликовала бюллетени по трем связанным уязвимостям безопасности 17 октября 2026 года. - Уязвимости внесены в каталог под официальными идентификаторами CVE-2026-111871, CVE-2026-111872 и CVE-2026-111873. - Затронутым программным обеспечением является система с открытым исходным кодом Online-Examination-System, разработанная itsmeravitejak, вплоть до git-коммита e6208e630b14657999bbfe4c9912302d2a1e2449. - Уязвимости затрагивают три отдельных файла приложения: subjectsdb.php, database.php и exammanger.php. - Среди уязвимых рабочих процедур — функция getreport в database.php и асинхронный эндпоинт topicslist в exammanger.php.

## What happened

В серии скоординированных записей об уязвимостях, зарегистрированных 17 октября 2026 года, аналитики безопасности VulDB задокументировали три технических дефекта в приложении Online-Examination-System. Затронутый код относится к публичному репозиторию разработчика itsmeravitejak и был проанализирован вплоть до хеша коммита e6208e630b14657999bbfe4c9912302d2a1e2449.

Первый бюллетень под идентификатором CVE-2026-111871 описывает уязвимость внедрения SQL-кода в скрипте subjectsdb.php. Согласно технической документации, опубликованной VulDB, данный файл обрабатывает операции, связанные с хранением и изменением записей об учебных предметах. Отсутствие санитизации параметров в этом компоненте позволяет дополнять инструкции базы данных несанкционированными внешними данными.

Вскоре после этого связанное сообщение под номером CVE-2026-111872 раскрыло аналогичную брешь в database.php. По информации VulDB, уязвимость непосредственно затрагивает функцию getreport — механизм, используемый платформой для запроса, сбора и отображения отчетных показателей. Если поля ввода, передаваемые в эту функцию, не проходят строгую проверку типов данных или экранирование, злоумышленник может внедрить команды структурированных запросов напрямую в серверную СУБД.

Третье уведомление, зарегистрированное как CVE-2026-111873, сосредоточено на эндпоинте асинхронного JavaScript и XML, расположенном в exammanger.php. Как сообщает VulDB, уязвимость затрагивает процедуру topicslist. Поскольку асинхронные эндпоинты часто обмениваются данными с клиентскими интерфейсами в фоновом режиме, недостаточно отфильтрованные параметры запроса, передаваемые через этот эндпоинт, позволяют внешним субъектам выполнять произвольные команды базы данных.

Во всех трех отчетах об уязвимостях первопричиной названа недостаточная изоляция исполняемых инструкций от предоставляемых пользователем данных в устаревших скриптах PHP. В каждом случае контролируемые пользователем входные данные могут выходить за пределы предусмотренного рабочего контекста и вынуждать интерпретатор базы данных выполнять несанкционированные фрагменты запросов.

## Why it matters

Обнаружение множественных уязвимостей внедрения кода в базу данных на платформе образовательного тестирования создает серьезные риски безопасности для академических учреждений и центров тестирования, развертывающих экзаменационное ПО на собственных серверах. Платформы тестирования управляют конфиденциальными учебными процессами, включая банки вопросов, активные бланки ответов, оценки студентов и учетные данные администраторов. Наличие в платформе оценивания уязвимостей, обеспечивающих неаутентифицированный или слабо ограниченный доступ к базе данных, ставит под вопрос честность всего процесса экзаменации.

Уязвимости внедрения в базу данных, классифицируемые в отраслевых стандартах под идентификатором Common Weakness Enumeration CWE-89, позволяют внешним сторонам обходить стандартные механизмы аутентификации, извлекать сохраненные записи и изменять содержимое таблиц. В контексте экзаменов лицо, эксплуатирующее CVE-2026-111871, CVE-2026-111872 или CVE-2026-111873, теоретически может извлечь еще не опубликованные экзаменационные вопросы до проведения тестирования. Аналогично, возможность записи в базовую базу данных открывает путь к незаконному изменению результатов тестов, академических ведомостей студентов или уровней прав доступа пользователей.

Помимо академической недобросовестности, компрометация баз данных студентов и преподавателей влечет за собой регуляторные и юридические риски. В юрисдикциях со строгим законодательством о конфиденциальности, таких как Европейский союз с General Data Protection Regulation или США с Family Educational Rights and Privacy Act, образовательным организациям грозят крупные административные штрафы, если персональные данные учащихся оказываются уязвимыми для утечки из-за устранимых дефектов ПО.

## The background

SQL-инъекции остаются одной из самых стойких уязвимостей в разработке веб-приложений на протяжении более чем двух десятилетий. Впервые описанный в технической литературе в конце 1990-х годов, данный паттерн уязвимости неизменно занимает видное место в списке критических рисков веб-приложений Open Worldwide Application Security Project Top 10. Несмотря на широкую осведомленность и устоявшиеся инженерные решения, веб-приложения, построенные на базе процедурного PHP-кода без использования абстракций, по-прежнему часто страдают от дефектов этого класса.

Общепринятый в отрасли метод нейтрализации SQL-инъекций опирается на параметризованные запросы, которые обычно реализуются через PHP Data Objects или подготовленные выражения расширения MySQL improved. При использовании подготовленных запросов СУБД рассматривает входящие параметры исключительно как пассивные строковые литералы, а не как исполняемый синтаксис, сводя на нет любые попытки модификации запроса. Приложения, которые вместо этого полагаются на прямую конкатенацию строк для формирования команд базы данных, остаются изначально уязвимыми всякий раз, когда функции очистки ввода отсутствуют, неполны или могут быть обойдены.

Международный учет дефектов безопасности координируется через систему Common Vulnerabilities and Exposures, курируемую корпорацией MITRE Corporation при спонсорской поддержке Cybersecurity and Infrastructure Security Agency США. Уполномоченные центры CVE Numbering Authorities назначают подтвержденным уязвимостям уникальные буквенно-цифровые идентификаторы, что позволяет разработчикам ПО, операторам корпоративных сетей и специалистам по реагированию на инциденты отслеживать, индексировать и устранять технические бреши.

Независимые платформы и службы индексации безопасности, включая VulDB, регулярно каталогизируют уязвимости, обнаруженные независимыми исследователями и инструментами автоматического сканирования кода. В то время как крупные коммерческие платформы реализуют специальные программы раскрытия уязвимостей, небольшие открытые утилиты и независимые проекты, распространяемые через публичные репозитории вроде GitHub, зачастую лишены структурированных процедур проверки безопасности, из-за чего развертывания остаются зависимыми от сторонних аудитов.

## Reaction

Создатель проекта itsmeravitejak не опубликовал никаких официальных заявлений, рекомендаций по защите или бюллетеней безопасности в ответ на отчеты VulDB. Первоначальные бюллетени не содержали комментариев владельца репозитория, а также не упоминали наличие публичного пулл-реквеста, устраняющего проблемы в уязвимых скриптах.

Поскольку проекты с открытым исходным кодом на платформах совместной разработки часто функционируют без пресс-служб или специализированных команд реагирования, коммуникация относительно обновлений безопасности обычно происходит в трекерах задач публичных репозиториев или в истории коммитов. Системным администраторам и техническим службам академических учреждений, использующим данное ПО, рекомендуется проверить серверные установки, ужесточить локальный контроль сетевого доступа и следить за активностью в репозитории на предмет выхода исправлений.

Аналитики безопасности, отслеживающие уязвимости в образовательном ПО, часто рекомендуют системным операторам развертывать внешние уровни защиты, такие как межсетевые экраны веб-приложений (web application firewalls), для обнаружения и блокировки некорректного синтаксиса запросов до того, как он достигнет уязвимых эндпоинтов на серверах приложений без установленных патчей.

## What we don't know yet

Ряд практических аспектов, касающихся обнаружения и реального воздействия этих уязвимостей, остается неподтвержденным. В первоначальных публикациях VulDB не уточняется, были ли уязвимости выявлены с помощью автоматизированного анализа исходного кода, ручного тестирования на проникновение или в результате активной эксплуатации, зафиксированной в рабочей среде. Соответственно, неизвестно, использовали ли злоумышленники эти конкретные эндпоинты против действующих экзаменационных серверов.

Кроме того, в отчетах не приводится данных о том, сколько учебных заведений, школ или отдельных администраторов активно используют кодовую базу Online-Examination-System разработчика itsmeravitejak. Хотя публичные git-репозитории отражают историю версий вплоть до коммита e6208e630b14657999bbfe4c9912302d2a1e2449, точное число работающих инсталляций, доступных из интернета, остается неизвестным.

Также неясно, будет ли официальный патч безопасности объединен с основным репозиторием или же системным администраторам придется вручную рефакторить subjectsdb.php, database.php и exammanger.php для самостоятельного внедрения подготовленных запросов к базе данных.

## What to watch

Главное, за чем предстоит следить, — опубликует ли мейнтейнер обновленные коммиты, заменяющие динамическую сборку запросов на параметризованное взаимодействие с базой данных в затронутых файлах. Пользователям репозитория следует отслеживать активность по новым коммитам после хеша e6208e630b14657999bbfe4c9912302d2a1e2449 на предмет исправлений безопасности.

В более широкой сфере управления уязвимостями экспертам стоит ожидать публикации стандартизированных оценок Common Vulnerability Scoring System для CVE-2026-111871, CVE-2026-111872 и CVE-2026-111873. Эти показатели степени опасности, назначаемые аналитиками и дублируемые такими институтами, как United States National Vulnerability Database, задают базовые рейтинги эксплуатируемости и воздействия, используемые автоматизированными системами комплаенс-контроля.

Службам безопасности, управляющим локально развернутыми экзаменационными средами, также следует отслеживать появление публичных эксплойтов (proof-of-concept), нацеленных на AJAX-эндпоинт topicslist в exammanger.php или функцию getreport в database.php, что значительно повысило бы срочность ручной доработки кода.

Материал подготовлен на основе технических отчетов об уязвимостях, опубликованных в каталоге безопасности VulDB 17 октября 2026 года.