CVE-2026-12175: SQL-sårbarhed i CodeAstro Attendance System
SQL-sårbarhed i CodeAstro Student Attendance Management System 1.0 kan udnyttes af en administrator. Isolér adgang eller udskift systemet.
Hvad er det?
CVE-2026-12175 er en SQL-indsprøjtning, en teknik hvor en angriber snyder databasen til at udføre uønskede kommandoer ved at putte skadelig kode ind i et inputfelt. Fejlen sidder i filen /attendance-php/Admin/createStudents.php i CodeAstro Student Attendance Management System version 1.0, et system til registrering af skolefremmøde. Ved at manipulere parameteren admissionNumber, som er elevens optagelsesnummer, kan en angriber få databasen til at udføre egne SQL-kommandoer. Angrebet kræver, at man allerede er logget ind som administrator, men kræver ingen handling fra andre brugere og kan udføres over netværket.
Hvem rammer det?
Sårbarheden rammer skoler, efterskoler, kommunale uddannelsesinstitutioner og andre, der bruger CodeAstro Student Attendance Management System version 1.0 til at registrere elevers fremmøde og stamdata. Systemet er et open source PHP-projekt, som ofte bruges af mindre organisationer, der har fået det installeret af en ekstern leverandør eller studerende. Alle installationer af version 1.0 er berørt, uanset om de kører lokalt eller på en webserver tilgængelig fra internettet.
Hvad kan ske?
En bruger med administratoradgang, eller en angriber der har fået fat i et administratorlogin, kan bruge sårbarheden til at læse, ændre eller slette data i databasen. I praksis kan det betyde adgang til elevoplysninger, ændring af fremmøderegistreringer eller karakterer, eller i værste fald udtrækning af hele databasen inklusive andre brugeres loginoplysninger. Da systemet ofte håndterer personoplysninger om børn og unge, kan et misbrug også udløse pligt til at anmelde bruddet til Datatilsynet.
Hvor alvorligt er det?
CVSS-score er 4,7 ud af 10, hvilket klassificeres som moderat. Angrebet kræver høj privilegie, altså at man allerede har administratoradgang, men det kræver ingen handling fra andre brugere og kan udføres over netværket med lav teknisk kompleksitet. Konsekvenserne for fortrolighed, integritet og tilgængelighed er alle vurderet lave. Der er ingen kendte tilfælde af aktiv udnyttelse i skarpe angreb, men proof-of-concept-kode er offentliggjort, så risikoen for misbrug stiger over tid, især hvis en administratorkonto kompromitteres via andre veje som svage adgangskoder eller phishing.
Hvad gør jeg nu?
Da der endnu ikke findes en officiel rettelse fra leverandøren, handler det om at begrænse adgang og indføre kompenserende kontroller.
- Undersøg om jeres organisation bruger CodeAstro Student Attendance Management System version 1.0, og find ud af hvem der har administratoradgang.
- Begræns antallet af administratorkonti til det strengt nødvendige, og skift adgangskoder til alle eksisterende administratorer.
- Sæt administrationspanelet bag ekstra beskyttelse, for eksempel VPN eller IP-begrænsning, så det ikke er direkte tilgængeligt fra internettet.
- Indfør input-validering i koden omkring admissionNumber-feltet, eller kontakt jeres leverandør for at få indsat et filter, hvis I selv driver systemet.
- Overvej på sigt at udskifte systemet med en løsning, der modtager løbende sikkerhedsopdateringer, da CodeAstro-projektet ikke har udsendt en rettelse.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har kompetencerne til at gennemgå koden eller vurdere jeres eksponering.
Vurdér og afhjælp inden for en uge
Vi anbefaler, at I straks begrænser antallet af administratorer og deres adgang til systemet, da sårbarheden kræver administratorrettigheder for at kunne udnyttes. Det er i orden at vente med en fuld udskiftning af systemet, hvis administratoradgangen er godt afgrænset og overvåget, men vi anbefaler ikke at lade et system uden officiel rettelse stå ubeskyttet med internetadgang på længere sigt. Er I i tvivl om jeres eksponering, hjælper vi gerne med en konkret vurdering.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto på en dansk efterskole
En efterskole bruger CodeAstro Student Attendance Management System til at registrere elevers fremmøde. En medarbejders administratorkonto bliver kompromitteret via et genbrugt kodeord fra et andet lækket system. Angriberen bruger herefter feltet admissionNumber til at udføre SQL-indsprøjtning og trække elevdata ud af databasen. Skolen opdager først hændelsen, da forældre henvender sig om mistænkelige e-mails med detaljer, kun skolen burde kende.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger CodeAstro Student Attendance Management System version 1.0 til at registrere elevers fremmøde. Tjek med jeres it-leverandør eller i systemets versionsoplysninger, om det er dette produkt og denne version, der er i brug.
Kan angrebet udføres af en udenforstående uden login?
Nej, angrebet kræver høj privilegie, det vil sige adgang som administrator. En udenforstående skal først have skaffet sig et administratorlogin, for eksempel via et svagt kodeord eller phishing, før sårbarheden kan udnyttes.
Kan vi vente til weekenden med at handle?
Ja, sårbarheden er vurderet moderat og kræver allerede administratoradgang. I bør dog i mellemtiden sikre, at administratorkonti har stærke og unikke adgangskoder, og at antallet af administratorer er minimeret.
Findes der en officiel rettelse?
Der er ikke offentliggjort en officiel rettelse fra leverandøren på tidspunktet for denne beskrivelse. Kompenserende foranstaltninger som adgangsbegrænsning og input-validering er derfor nødvendige, indtil en rettelse eventuelt kommer, eller systemet udskiftes.
Skal vi anmelde et eventuelt misbrug til Datatilsynet?
Hvis sårbarheden bliver udnyttet til at få adgang til elevers personoplysninger, kan det udgøre et brud på persondatasikkerheden, som skal vurderes efter databeskyttelsesforordningens regler om anmeldelse inden for 72 timer.
Hvordan tjekker vi, om nogen har udnyttet sårbarheden?
Gennemgå logfiler for administrationspanelet for usædvanlige forespørgsler til createStudents.php, især i feltet admissionNumber, og kig efter uventede ændringer i elevdata eller nye administratorkonti, I ikke selv har oprettet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in CodeAstro Student Attendance Management System 1.0. Impacted is an unknown function of the file /attendance-php/Admin/createStudents.php. Performing a manipulation of the argument admissionNumber results in sql injection. Remote exploitation of the attack is possible. The exploit is now public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.