CVE-2025-13545
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W projekcie ashraf-kabir travel-agency (do commita 1f25aa0) wykryto podatność w pliku /admin_area/index.php. Manipulacja argumentem edit_pack prowadzi do wstrzyknięcia SQL, a atak można zainicjować zdalnie. Exploit ujawniono publicznie, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wykonać zapytania SQL w panelu administracyjnym, co grozi przejęciem lub wyciekiem danych. Brak odpowiedzi producenta utrudnia uzyskanie poprawki.
Rekomendacja
Wdróż własną poprawkę walidującą parametr edit_pack lub ogranicz dostęp do /admin_area/index.php; rozważ zastąpienie nieutrzymywanego produktu.
Inne podatności w ashraf-kabir travel-agency
Zobacz wszystkie- CVE-2025-13546Średnie
W ashraf-kabir travel-agency do wersji 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3 wykryto podatność w pliku /results.php w komponencie Search. Manipulacja argumentem user_query prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Produkt nie używa wersjonowania, dlatego informacje o wersjach podatnych i niepodatnych są niedostępne.
- CVE-2025-13544Średnie
W ashraf-kabir travel-agency (do commita 1f25aa0) wykryto słabość w pliku /customer_register.php umożliwiającą nieograniczone przesyłanie plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in ashraf-kabir travel-agency up to 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3. Affected by this vulnerability is an unknown functionality of the file /admin_area/index.php. The manipulation of the argument edit_pack leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS