CVE-2025-11597

ŚrednieCVSS 6.3

Opublikowano: 11/10/2025(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W systemie E-Commerce Website 1.0 od code-projects odkryto podatność polegającą na wstrzyknięciu SQL w pliku /pages/product_add_qty.php. Manipulacja argumentem prod_id umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny i może być wykorzystany.

Ocena ryzyka

Atakujący może zdalnie manipulować zapytaniami do bazy danych, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Publicznie dostępny exploit zwiększa ryzyko wykorzystania podatności.

Rekomendacja

Należy natychmiast zastosować poprawki lub zabezpieczyć aplikację przed wstrzyknięciem SQL, np. poprzez użycie sparametryzowanych zapytań. Ogranicz dostęp do pliku /pages/product_add_qty.php.

Inne podatności w E-Commerce Website

CVE-2025-11024Krytyczne
W oprogramowaniu Akilli Commerce występuje podatność na SQL injection, która umożliwia przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji E-Commerce Website przed 4.5.001.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in code-projects E-Commerce Website 1.0. The impacted element is an unknown function of the file /pages/product_add_qty.php. The manipulation of the argument prod_id leads to sql injection. The attack is possible to be carried out remotely. The exploit is publicly available and might be used.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS