CVE-2025-12598
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W SourceCodester Best House Rental Management System 1.0 wykryto podatność w funkcji save_tenant w pliku /admin_class.php. Manipulacja argumentem firstname może prowadzić do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany. Inne parametry również mogą być podatne.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy kod SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Publiczny exploit zwiększa prawdopodobieństwo ataku.
Rekomendacja
Należy niezwłocznie zaktualizować aplikację do wersji z poprawką lub wdrożyć walidację danych wejściowych. Zaleca się również monitorowanie ruchu sieciowego pod kątem prób wstrzyknięcia SQL.
Inne podatności w Best House Rental Management System
Zobacz wszystkie- CVE-2025-12853Średnie
W SourceCodester Best House Rental Management System 1.0 wykryto podatność SQL Injection w funkcji delete_house w pliku /admin_class.php poprzez manipulację argumentem ID. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-12614Średnie
W SourceCodester Best House Rental Management System 1.0 zidentyfikowano słabość w funkcji delete_payment w pliku /admin_class.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-12597Średnie
W SourceCodester Best House Rental Management System 1.0 wykryto podatność w funkcji save_category w pliku /admin_class.php. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in SourceCodester Best House Rental Management System 1.0. Affected by this issue is the function save_tenant of the file /admin_class.php. Executing manipulation of the argument firstname can lead to sql injection. The attack can be launched remotely. The exploit has been published and may be used. Other parameters might be affected as well.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS