CVE-2025-12302
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W code-projects Simple Food Ordering System 1.0 wykryto podatność cross-site scripting (XSS) w nieznanej funkcji pliku /editproduct.php. Manipulacja argumentami pname/category/price pozwala na wstrzyknięcie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Osoba atakująca może wykonać dowolny kod JavaScript w przeglądarce ofiary, przechwycić sesję lub dane logowania. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Wprowadź walidację i sanityzację danych wejściowych w polach pname, category i price. Zaktualizuj system, jeśli dostępna jest poprawka.
Inne podatności w Simple Food Ordering System
Zobacz wszystkie- CVE-2025-13571Średnie
Podatność w systemie Simple Food Ordering System 1.0 dotyczy pliku /listorder.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13290Średnie
W systemie code-projects Simple Food Ordering System 1.0 wykryto podatność w nieznanej funkcji pliku /saveorder.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
- CVE-2025-12299Średnie
Wykryto lukę bezpieczeństwa w code-projects Simple Food Ordering System 1.0. Podatność dotyczy nieznanego kodu w pliku /addproduct.php. Manipulacja argumentem pname/category/price powoduje cross site scripting. Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2025-12298Średnie
W code-projects Simple Food Ordering System 1.0 zidentyfikowano podatność cross-site scripting (XSS) w nieznanej części pliku /editcategory.php. Manipulacja argumentem pname prowadzi do wstrzyknięcia złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in code-projects Simple Food Ordering System 1.0. The affected element is an unknown function of the file /editproduct.php. Performing manipulation of the argument pname/category/price results in cross site scripting. The attack may be initiated remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS