CVE-2025-12334
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W code-projects E-Commerce Website 1.0 wykryto podatność w nieznanej funkcji pliku /pages/product_add.php. Manipulacja argumentami prod_name/prod_desc/prod_cost prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub defacementu. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj aplikację do wersji, która naprawia podatność, lub zastosuj walidację i sanityzację danych wejściowych dla argumentów prod_name, prod_desc i prod_cost. Wdroż nagłówki CSP i monitoruj nietypowe żądania.
Inne podatności w code-projects E-Commerce Website
Zobacz wszystkie- CVE-2025-12335Średnie
W code-projects E-Commerce Website 1.0 wykryto podatność w nieznanej funkcjonalności pliku /pages/supplier_update.php. Manipulacja argumentami supp_name/supp_address prowadzi do cross site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12333Średnie
W code-projects E-Commerce Website 1.0 wykryto podatność w nieznanej funkcji pliku /pages/supplier_add.php. Manipulacja argumentami supp_name/supp_address prowadzi do cross site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in code-projects E-Commerce Website 1.0. Affected is an unknown function of the file /pages/product_add.php. The manipulation of the argument prod_name/prod_desc/prod_cost results in cross site scripting. It is possible to launch the attack remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS