CVE-2025-13286
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Odkryto lukę w zabezpieczeniach itsourcecode Online Voting System 1.0. Podatny element to nieznana funkcja w pliku /ajax.php?action=save_user. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie udostępniony i może być wykorzystany.
Ocena ryzyka
Wstrzyknięcie SQL może pozwolić atakującemu na manipulację danymi użytkowników lub głosami, co podważa integralność systemu głosowania i może prowadzić do nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj system do wersji, która naprawia podatność, lub wdróż walidację danych wejściowych i parametryzację zapytań w pliku /ajax.php?action=save_user.
Inne podatności w Online Voting System
Zobacz wszystkie- CVE-2026-14649Wysokie
W systemie Online Voting System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /saveVote.php. Funkcja test_input nieprawidłowo filtruje dane wejściowe, co pozwala atakującemu na manipulację argumentami voterName, voterEmail, voterID i selectedCandidate. Atak może być przeprowadzony zdalnie.
- CVE-2026-14648Wysokie
W systemie Online Voting System do wersji 1.0 wykryto podatność SQL injection w funkcji test_input pliku /authentication.php komponentu Login. Manipulacja argumentami adminUserName/adminPassword umożliwia zdalne wstrzyknięcie kodu SQL.
- CVE-2025-13287Średnie
Podatność SQL Injection w Online Voting System 1.0 od itsourcecode. Atak przez manipulację argumentem id/category w pliku /index.php?page=categories. Atak może być wykonany zdalnie, exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in itsourcecode Online Voting System 1.0. The impacted element is an unknown function of the file /ajax.php?action=save_user. Performing manipulation of the argument ID results in sql injection. Remote exploitation of the attack is possible. The exploit has been released to the public and may be exploited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS