CVE-2023-0946
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Krytyczna podatność SQL Injection w systemie SourceCodester Best POS Management System 1.0. Nieznana funkcjonalność pliku billing/index.php?id=9 pozwala na manipulację argumentem id, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Atakujący może wykorzystać podatność do nieautoryzowanego dostępu do bazy danych, kradzieży danych, modyfikacji lub usunięcia danych, a nawet przejęcia kontroli nad systemem.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta lub ogranicz dostęp do pliku billing/index.php. Zaleca się również użycie sparametryzowanych zapytań i walidacji wejścia.
Inne podatności w Best POS Management System
Zobacz wszystkie- CVE-2023-27205Krytyczne
System Best POS Management System 1.0 zawiera podatność na wstrzykiwanie SQL przez parametr month w /kruxton/sales_report.php.
- CVE-2023-27204Krytyczne
System Best POS Management System 1.0 zawiera podatność na wstrzykiwanie SQL przez parametr id w /kruxton/manage_user.php.
- CVE-2023-27203Krytyczne
System Best POS Management System 1.0 zawiera podatność na wstrzykiwanie SQL przez parametr id w /billing/home.php.
- CVE-2023-27202Krytyczne
Best POS Management System 1.0 zawiera podatność na wstrzykiwanie SQL w parametrze id w skrypcie /kruxton/receipt.php. Atakujący może wykorzystać ten błąd do manipulowania zapytaniami do bazy danych.
- CVE-2023-27206Średnie
Podatność Cross-Site Scripting (XSS) w /kruxton/navbar.php systemu Best POS Management System 1.0 pozwala atakującemu na wykonanie dowolnych skryptów lub HTML poprzez spreparowany payload wstrzyknięty do parametru page.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in SourceCodester Best POS Management System 1.0 and classified as critical. Affected by this vulnerability is an unknown functionality of the file billing/index.php?id=9. The manipulation of the argument id leads to sql injection. The attack can be launched remotely. The identifier VDB-221593 was assigned to this vulnerability.