📄 الوصف (الإنجليزية)
A vulnerability was determined in itsourcecode Construction Management System 1.0. The impacted element is an unknown function of the file /borrowed_equip.php of the component Parameter Handler. This manipulation of the argument emp causes sql injection. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized.
🤖 ملخص AI
CVE-2026-5660 is a SQL injection vulnerability in itsourcecode Construction Management System 1.0 affecting the /borrowed_equip.php file through the 'emp' parameter. With a CVSS score of 6.3 (medium) and publicly disclosed exploit details, this vulnerability poses a moderate risk to organizations using this system. No patch is currently available, requiring immediate compensating controls and system isolation.
📄 الوصف (العربية)
🤖 التحليل الذكي آخر تحليل: May 21, 2026 14:32
🇸🇦 التأثير على المملكة العربية السعودية
This vulnerability primarily impacts Saudi construction and project management companies, particularly those in the real estate development, infrastructure, and government contracting sectors. Organizations under ARAMCO's supply chain, government entities managing construction projects, and private construction firms are at risk. The SQL injection could lead to unauthorized database access, data exfiltration of employee records, equipment inventory manipulation, and potential lateral movement within organizational networks. Government procurement entities and ARAMCO contractors face elevated risk due to sensitive project data exposure.
🏢 القطاعات السعودية المتأثرة
Construction and Real Estate Development
Government and Public Sector (Project Management)
ARAMCO and Energy Sector Contractors
Infrastructure Development
Government Procurement Entities
Private Construction Firms
🎯 تقنيات MITRE ATT&CK
⚖️ درجة المخاطر السعودية (AI)
6.8
/ 10.0
🔧 Remediation Steps (English)
IMMEDIATE ACTIONS:
1. Identify all instances of itsourcecode Construction Management System 1.0 in your environment
2. Isolate affected systems from production networks if possible, or implement network segmentation
3. Disable or restrict access to /borrowed_equip.php endpoint immediately
4. Review access logs for suspicious activity on this endpoint (look for SQL keywords: UNION, SELECT, DROP, INSERT)
COMPENSATING CONTROLS:
1. Implement Web Application Firewall (WAF) rules to block SQL injection patterns in the 'emp' parameter
2. Apply input validation at the application layer - whitelist only alphanumeric characters for emp parameter
3. Enforce principle of least privilege for database accounts used by the application
4. Enable database query logging and monitoring for anomalous SQL patterns
5. Implement rate limiting on /borrowed_equip.php endpoint
DETECTION RULES:
1. Monitor for HTTP requests to /borrowed_equip.php containing SQL keywords (UNION, SELECT, OR, AND, DROP, INSERT, UPDATE, DELETE)
2. Alert on multiple failed database queries from the application
3. Track unusual database user activity and privilege escalation attempts
4. Monitor for data exfiltration patterns from equipment and employee tables
PATCHING STRATEGY:
1. Contact itsourcecode for security updates or consider alternative solutions
2. Evaluate migration to patched versions or alternative construction management systems
3. If no patch available, plan system decommissioning timeline
🔧 خطوات المعالجة (العربية)
الإجراءات الفورية:
1. تحديد جميع حالات نظام إدارة المشاريع الإنشائية itsourcecode الإصدار 1.0 في بيئتك
2. عزل الأنظمة المتأثرة عن شبكات الإنتاج إن أمكن، أو تطبيق تقسيم الشبكة
3. تعطيل أو تقييد الوصول إلى نقطة نهاية /borrowed_equip.php فورًا
4. مراجعة سجلات الوصول للنشاط المريب على هذه النقطة (ابحث عن كلمات SQL: UNION, SELECT, DROP, INSERT)
الضوابط التعويضية:
1. تطبيق قواعد جدار حماية تطبيقات الويب (WAF) لحجب أنماط حقن SQL في معامل emp
2. تطبيق التحقق من صحة الإدخال على مستوى التطبيق - قائمة بيضاء للأحرف الأبجدية الرقمية فقط
3. فرض مبدأ أقل امتياز لحسابات قاعدة البيانات المستخدمة من قبل التطبيق
4. تفعيل تسجيل استعلامات قاعدة البيانات ومراقبة الأنماط غير العادية
5. تطبيق تحديد معدل على نقطة نهاية /borrowed_equip.php
قواعد الكشف:
1. مراقبة طلبات HTTP إلى /borrowed_equip.php التي تحتوي على كلمات SQL
2. التنبيه على استعلامات قاعدة البيانات المتعددة الفاشلة
3. تتبع نشاط مستخدم قاعدة البيانات غير العادي
4. مراقبة أنماط تسرب البيانات من جداول المعدات والموظفين
استراتيجية التصحيح:
1. الاتصال بـ itsourcecode للحصول على تحديثات أمان
2. تقييم الترقية إلى إصدارات مصححة أو حلول بديلة
3. إذا لم يتوفر تصحيح، خطط لإيقاف النظام
📋 خريطة الامتثال التنظيمي
🟢 NCA ECC 2024
ECC 2024 A.14.2.1 - Secure development policy and procedures
ECC 2024 A.14.3.1 - Testing of security functionality
ECC 2024 A.12.6.1 - Management of technical vulnerabilities
ECC 2024 A.12.2.1 - User access management
🔵 SAMA CSF
ID.RA-1 - Asset Management and Vulnerability Management
PR.DS-2 - Data Security and Protection
DE.CM-1 - Detection and Analysis
RS.MI-1 - Incident Response and Recovery
🟡 ISO 27001:2022
A.12.6.1 - Management of technical vulnerabilities
A.14.2.1 - Secure development policy
A.14.3.1 - Security testing
A.13.1.3 - Segregation of networks
🟣 PCI DSS v4.0.1
Requirement 6.2 - Security patches and updates
Requirement 6.5.1 - Injection flaws prevention
Requirement 11.2 - Vulnerability scanning