CVE-2025-14567

ŚrednieCVSS 5.3

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.77%

Percentyl 54 - wyżej niż 54% wszystkich znanych CVE

Streszczenie

W projekcie haxxorsid Stock-Management-System do wersji fbbbf213e9c93b87183a3891f77e3cc7095f22b0 wykryto słabość w nieznanej funkcji pliku /api/employees. Manipulacja może prowadzić do braku uwierzytelniania. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Produkt nie jest już wspierany przez opiekuna.

Ocena ryzyka

Atakujący zdalnie może uzyskać dostęp do funkcji API bez uwierzytelnienia. Może to prowadzić do nieautoryzowanego dostępu do danych pracowników lub innych zasobów.

Rekomendacja

Zaprzestań używania nieobsługiwanego produktu lub zastąp go wspieranym rozwiązaniem. Jeśli nie jest to możliwe, ogranicz dostęp do API /api/employees do zaufanych sieci.

Inne podatności w Stock-Management-System

CVE-2025-14568Średnie
W systemie Stock-Management-System (haxxorsid) do wersji fbbbf213e9c93b87183a3891f77e3cc7095f22b0 wykryto podatność SQL injection w pliku model/User.php. Manipulacja argumentami `employee_id`, `id` lub `admin` pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in haxxorsid Stock-Management-System up to fbbbf213e9c93b87183a3891f77e3cc7095f22b0. This affects an unknown function of the file /api/employees. Executing manipulation can lead to missing authentication. It is possible to launch the attack remotely. The exploit has been made available to the public and could be exploited. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS