CVE-2025-14246
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie Simple Shopping Cart 1.0 firmy code-projects znaleziono podatność w nieznanym kodzie pliku /Customers/settings.php. Manipulacja argumentem user_id prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników lub ich modyfikacji. Organizacja może być narażona na naruszenie prywatności.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek oraz użycie zapytań parametryzowanych w celu zapobiegania wstrzyknięciom SQL. Należy również ograniczyć dostęp do pliku /Customers/settings.php.
Inne podatności w Simple Shopping Cart
Zobacz wszystkie- CVE-2026-48868Wysokie
W wersjach Simple Shopping Cart <= 5.2.9 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
- CVE-2026-0552Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress Simple Shopping Cart plugin do wersji 5.2.4. Poprzez shortcode 'wpsc_display_product' i atrybuty dostarczone przez użytkownika, atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
- CVE-2025-14247Średnie
W systemie Simple Shopping Cart 1.0 firmy code-projects znaleziono podatność w nieznanym przetwarzaniu pliku /Admin/additems.php. Manipulacja argumentem item_name prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in code-projects Simple Shopping Cart 1.0. This vulnerability affects unknown code of the file /Customers/settings.php. Performing manipulation of the argument user_id results in sql injection. Remote exploitation of the attack is possible. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS