CVE-2025-13302
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W systemie Courier Management System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add-new-officer.php. Manipulacja argumentem ManagerName umożliwia atak zdalny. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wykorzystać podatność do nieautoryzowanego dostępu do bazy danych, kradzieży danych lub modyfikacji danych. Publiczny exploit zwiększa ryzyko ataków.
Rekomendacja
Należy natychmiast zastosować parametryzowane zapytania SQL lub użyć prepared statements. Zaleca się również aktualizację systemu oraz monitorowanie logów pod kątem prób wstrzyknięć SQL.
Inne podatności w Courier Management System
Zobacz wszystkie- CVE-2026-16229Średnie
W systemie Courier Management System do wersji 1.0 znaleziono lukę w pliku /index.php. Manipulacja parametrem page prowadzi do podatności na cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-9607Średnie
W itsourcecode Courier Management System 1.0, nieznana funkcja w pliku /parcel_list.php jest podatna na SQL Injection poprzez manipulację argumentem s. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-9606Wysokie
Podatność w itsourcecode Courier Management System 1.0. Nieznana funkcja w pliku /manage_user.php pozwala na wstrzyknięcie SQL przez argument ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13303Średnie
W systemie Courier Management System 1.0 wykryto podatność w pliku /search-edit.php polegającą na manipulacji argumentem Consignment prowadzącą do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11553Średnie
Wykryto słabość w code-projects Courier Management System 1.0. Podatność dotyczy nieznanej funkcjonalności pliku /add-courier.php. Wykonanie manipulacji argumentem Shippername może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in code-projects Courier Management System 1.0. This affects an unknown part of the file /add-new-officer.php. Such manipulation of the argument ManagerName leads to sql injection. The attack can be launched remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS