CVE-2025-12255
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add_contestant.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego dostępu do bazy danych, kradzieży danych lub ich modyfikacji, co może naruszyć integralność systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek, walidację danych wejściowych oraz użycie zapytań parametrycznych.
Inne podatności w Online Event Judging System
Zobacz wszystkie- CVE-2025-12263Średnie
W systemie Online Event Judging System 1.0 od code-projects wykryto podatność SQL injection w pliku /edit_judge.php. Manipulacja argumentem judge_id może prowadzić do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.
- CVE-2025-12262Średnie
W systemie Online Event Judging System 1.0 od code-projects wykryto podatność SQL injection w pliku /edit_criteria.php. Manipulacja argumentem crit_id może prowadzić do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2025-12256Średnie
W systemie Online Event Judging System 1.0 firmy code-projects występuje podatność na wstrzyknięcie SQL w pliku /edit_contestant.php poprzez manipulację argumentem contestant_id. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-12254Średnie
W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add_judge.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-12252Średnie
W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /ajax/action.php. Manipulacja argumentem content prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in code-projects Online Event Judging System 1.0. This affects an unknown part of the file /add_contestant.php. Performing manipulation of the argument fullname results in sql injection. Remote exploitation of the attack is possible. The exploit has been released to the public and may be exploited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS