CVE-2023-38890

WysokieCVSS 8.8

Opublikowano: 18/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.99%

Percentyl 58 - wyżej niż 58% wszystkich znanych CVE

Streszczenie

Projekt Portalu Zakupów Online 3.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń/zapytań SQL za pośrednictwem formularza logowania, co prowadzi do nieautoryzowanego dostępu i potencjalnej manipulacji danymi. Podatność wynika z niewystarczającej walidacji danych wejściowych dostarczonych przez użytkownika w polu nazwy użytkownika, co umożliwia ataki typu SQL Injection.

Ocena ryzyka

Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do danych oraz ich manipulacji, co może prowadzić do utraty integralności danych i reputacji. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się wprowadzenie odpowiednich mechanizmów walidacji i sanitizacji danych wejściowych w formularzu logowania, aby zapobiec atakom SQL Injection. Należy również przeprowadzić audyt bezpieczeństwa aplikacji oraz zaktualizować ją do najnowszej wersji.

Inne podatności w Online Shopping Portal Project 3.1

CVE-2023-37772Wysokie
W projekcie Online Shopping Portal v3.1 odkryto podatność na wstrzykiwanie SQL poprzez parametr Email w pliku /shopping/login.php.

Oryginalny opis (angielski, źródło NVD)

Online Shopping Portal Project 3.1 allows remote attackers to execute arbitrary SQL commands/queries via the login form, leading to unauthorized access and potential data manipulation. This vulnerability arises due to insufficient validation of user-supplied input in the username field, enabling SQL Injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS