CVE-2026-0544 School Management System 学生页面 SQL 注入漏洞-讯岚社区

漏洞案例公开漏洞记录

CVE-2026-0544

School Management System 学生页面 SQL 注入漏洞

公开 CVE 记录指出，学生页面 ID 参数缺少充分校验，远程攻击者可发起 SQL 注入并读取或修改应用数据库。

漏洞概览

CVE 编号: CVE-2026-0544
影响产品: itsourcecode School Management System 1.0
漏洞类型: SQL 注入
CWE 分类: CWE-89 / CWE-74
CVE 公开日期: 2026-01-01
CVE 记录更新日期: 2026-02-23
资料核验日期: 2026-09-18
区域标签: 全球（教育管理系统）

安全风险等级评估

7.3

高危 · CVSS 3.1评分来源：VulDB / CVE 记录

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

其他公开评分：VulDB · CVSS 4.0 6.9（中危）；VulDB · CVSS 3.0 7.3（高危）。评分机构、模型或版本不同可能产生差异。

影响范围与修复版本

产品或分支	受影响范围	历史修复边界或说明
School Management System	itsourcecode 1.0；/student/index.php	正式修复版本未在所查 CVE 记录中给出

漏洞详情

漏洞机制

itsourcecode School Management System 1.0 的 /student/index.php 在处理 ID 参数时存在 SQL 注入，攻击者输入可能改变数据库查询语义。具体数据影响受后台数据库与应用账户权限限制。

触发条件与权限边界

CNA 评分向量标记 PR:N，表示其评估无需预先认证。公开利用信息不等于已经进入 CISA KEV，也不能证明某个部署已经遭到入侵；官方记录没有给出确定的修复版本。

场景与影响

该案例属于 2026 年已公开入库的中小型 Web 应用漏洞，说明低知名度系统同样会被自动化扫描。数据库权限过大、默认口令和公网暴露会显著增加后果。

检测与排查

资产、配置与日志核查

核对来源与版本、学生页面入口和数据库权限，检查异常 ID 请求与 SQL 日志；修复验证在授权环境完成，同时验证正常业务和拒绝异常输入的行为。

防范措施与修复验证

修复与缓解

采用参数化查询修复输入与 SQL 的边界，按最小权限配置数据库账户。正式补丁需由维护方确认；无法获得可验证修复时应限制暴露或停用受影响功能，不应随意指定一个“安全版本”。

修复后的验证

完成变更后，回读 itsourcecode School Management System 1.0 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。

参考来源

CVE 官方记录CNA 描述、版本与评分依据 产品公告与技术资料itsourcecode.com 补充公告与技术资料vuldb.com NVD 漏洞条目补充分析与参考链接 CISA KEV 目录已知现实利用状态

英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。

文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。

THE END

漏洞案例