【高危漏洞】CVE-2026-1176：itsourcecode 学校管理系统 SQL 注入漏洞分析
漏洞概述
近日，安全研究人员披露了 itsourcecode School Management System 1.0 版本中存在一个远程可利用的 SQL 注入漏洞。攻击者可通过操纵 /subject/index.php 文件中的 ID 参数，执行任意 SQL 命令，从而可能导致敏感数据泄露、数据篡改或系统权限被进一步利用。该漏洞的利用代码已公开，存在被大规模攻击的风险。
漏洞详情
- CVE 编号：CVE-2026-1176
- 漏洞类型：SQL 注入（CWE-89）
- CVSS 评分：CVSS v3.1 评分为 7.3（HIGH），CVSS v4.0 评分为 6.9（MEDIUM）
- 影响版本：itsourcecode School Management System 1.0
影响范围
该漏洞影响 itsourcecode School Management System 1.0 版本，具体涉及 /subject/index.php 文件中对 ID 参数未进行充分输入验证和过滤，导致攻击者可构造恶意请求注入 SQL 语句。
风险分析
由于该漏洞可通过网络远程利用，且无需身份认证或用户交互，攻击者可直接发送恶意请求触发漏洞。成功利用后，可能导致数据库信息泄露（如学生、教师、管理员账户等）、数据篡改，甚至结合其他漏洞实现服务器控制。目前已有公开的 PoC 利用代码，增加了被自动化攻击工具利用的可能性。
修复建议
- 建议用户立即停止使用受影响版本，并关注官方是否发布安全更新或补丁。
- 若暂无官方修复方案，可临时通过 Web 应用防火墙（WAF）规则拦截包含可疑 SQL 关键字的请求，或对 /subject/index.php 的 ID 参数实施严格的输入验证与参数化查询（Prepared Statements）加固。
