CVE-2025-12298
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W code-projects Simple Food Ordering System 1.0 zidentyfikowano podatność cross-site scripting (XSS) w nieznanej części pliku /editcategory.php. Manipulacja argumentem pname prowadzi do wstrzyknięcia złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Osoba atakująca może wykonać dowolny kod JavaScript w przeglądarce ofiary, przechwycić sesję lub dane logowania. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Wprowadź walidację i sanityzację danych wejściowych w polu pname. Zaktualizuj system, jeśli dostępna jest poprawka.
Inne podatności w Simple Food Ordering System
Zobacz wszystkie- CVE-2025-13571Średnie
Podatność w systemie Simple Food Ordering System 1.0 dotyczy pliku /listorder.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13290Średnie
W systemie code-projects Simple Food Ordering System 1.0 wykryto podatność w nieznanej funkcji pliku /saveorder.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
- CVE-2025-12302Średnie
W code-projects Simple Food Ordering System 1.0 wykryto podatność cross-site scripting (XSS) w nieznanej funkcji pliku /editproduct.php. Manipulacja argumentami pname/category/price pozwala na wstrzyknięcie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-12299Średnie
Wykryto lukę bezpieczeństwa w code-projects Simple Food Ordering System 1.0. Podatność dotyczy nieznanego kodu w pliku /addproduct.php. Manipulacja argumentem pname/category/price powoduje cross site scripting. Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in code-projects Simple Food Ordering System 1.0. This affects an unknown part of the file /editcategory.php. The manipulation of the argument pname leads to cross site scripting. It is possible to initiate the attack remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS