CVE-2025-13546
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W ashraf-kabir travel-agency do wersji 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3 wykryto podatność w pliku /results.php w komponencie Search. Manipulacja argumentem user_query prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Produkt nie używa wersjonowania, dlatego informacje o wersjach podatnych i niepodatnych są niedostępne.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zastosuj poprawki lub środki zaradcze, takie jak walidacja danych wejściowych i parametryzacja zapytań SQL w pliku /results.php. Rozważ wdrożenie WAF i ograniczenie dostępu do aplikacji.
Inne podatności w ashraf-kabir travel-agency
Zobacz wszystkie- CVE-2025-13545Średnie
W projekcie ashraf-kabir travel-agency (do commita 1f25aa0) wykryto podatność w pliku /admin_area/index.php. Manipulacja argumentem edit_pack prowadzi do wstrzyknięcia SQL, a atak można zainicjować zdalnie. Exploit ujawniono publicznie, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-13544Średnie
W ashraf-kabir travel-agency (do commita 1f25aa0) wykryto słabość w pliku /customer_register.php umożliwiającą nieograniczone przesyłanie plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in ashraf-kabir travel-agency up to 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3. Affected by this issue is some unknown functionality of the file /results.php of the component Search. The manipulation of the argument user_query results in sql injection. The attack can be launched remotely. The exploit is now public and may be used. This product does not use versioning. This is why information about affected and unaffected releases are unavailable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS