CVE-2025-11390
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W systemie PHPGurukul Cyber Cafe Management System 1.0 występuje podatność na Cross-Site Scripting (XSS) w pliku /search.php, w komponencie POST Parameter Handler. Manipulacja argumentem searchdata może prowadzić do XSS. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży danych, przejęcia sesji lub innych szkodliwych działań.
Rekomendacja
Zaleca się aktualizację systemu do najnowszej wersji oraz wdrożenie walidacji i sanityzacji danych wejściowych w parametrze searchdata.
Inne podatności w PHPGurukul Cyber Cafe Management System
Zobacz wszystkie- CVE-2025-70893Wysokie
W systemie PHPGurukul Cyber Cafe Management System v1.0 wykryto podatność na atak SQL Injection typu time-based blind w punkcie końcowym adminprofile.php. Aplikacja nie filtruje poprawnie danych wejściowych przekazywanych przez parametr adminname, co umożliwia uwierzytelnionym atakującym wstrzyknięcie dowolnych wyrażeń SQL.
- CVE-2025-70892Krytyczne
Phpgurukul Cyber Cafe Management System v1.0 zawiera podatność na wstrzykiwanie SQL w module zarządzania użytkownikami. Aplikacja nie waliduje poprawnie danych wejściowych w parametrze username w punkcie końcowym add-users.php.
- CVE-2023-34666Średnie
W systemie zarządzania kawiarnią internetową Phpgurukul w wersji 1.0 występuje podatność typu cross-site scripting (XSS), która pozwala zdalnym atakującym na wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez parametr nazwy użytkownika administratora.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in PHPGurukul Cyber Cafe Management System 1.0. Affected by this vulnerability is an unknown functionality of the file /search.php of the component POST Parameter Handler. Executing a manipulation of the argument searchdata can lead to cross site scripting. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS