CVE-2025-14195
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W systemie Employee Profile Management System 1.0 firmy code-projects wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Manipulacja argumentem per_file w pliku /profiling/add_file_query.php umożliwia atak zdalny. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki, co może prowadzić do naruszenia integralności systemu lub wykonania dowolnego kodu. Publiczny exploit zwiększa ryzyko ataków.
Rekomendacja
Należy ograniczyć możliwość przesyłania plików, wdrożyć walidację typów i rozmiarów plików oraz zabezpieczyć katalogi przed wykonywaniem skryptów. Zaleca się także monitorowanie logów.
Inne podatności w Employee Profile Management System
Zobacz wszystkie- CVE-2025-14222Średnie
Znaleziono lukę w code-projects Employee Profile Management System 1.0. Dotyczy nieznanej funkcji w pliku /print_personnel_report.php. Manipulacja argumentem per_id powoduje wstrzyknięcie SQL. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być wykorzystany.
- CVE-2025-14194Niskie
Employee Profile Management System 1.0 firmy code-projects zawiera podatność na cross-site scripting (XSS) w pliku /view_personnel.php. Manipulacja argumentami per_address, dr_school lub other_school prowadzi do XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-14193Średnie
W systemie code-projects Employee Profile Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /view_personnel.php poprzez manipulację argumentem per_id. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in code-projects Employee Profile Management System 1.0. Impacted is an unknown function of the file /profiling/add_file_query.php. The manipulation of the argument per_file results in unrestricted upload. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS