CVE-2025-14247
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie Simple Shopping Cart 1.0 firmy code-projects znaleziono podatność w nieznanym przetwarzaniu pliku /Admin/additems.php. Manipulacja argumentem item_name prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, kradzieży danych lub ich modyfikacji. Organizacja może ponieść poważne straty.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek oraz użycie zapytań parametryzowanych w celu zapobiegania wstrzyknięciom SQL. Należy również ograniczyć dostęp do pliku /Admin/additems.php.
Inne podatności w Simple Shopping Cart
Zobacz wszystkie- CVE-2026-48868Wysokie
W wersjach Simple Shopping Cart <= 5.2.9 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
- CVE-2026-0552Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress Simple Shopping Cart plugin do wersji 5.2.4. Poprzez shortcode 'wpsc_display_product' i atrybuty dostarczone przez użytkownika, atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
- CVE-2025-14246Średnie
W systemie Simple Shopping Cart 1.0 firmy code-projects znaleziono podatność w nieznanym kodzie pliku /Customers/settings.php. Manipulacja argumentem user_id prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in code-projects Simple Shopping Cart 1.0. This issue affects some unknown processing of the file /Admin/additems.php. Executing manipulation of the argument item_name can lead to sql injection. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS