CVE-2025-65379

ŚrednieCVSS 6.5

Opublikowano: 02/12/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

PHPGurukul Billing System 1.0 jest podatny na SQL Injection w endpoincie /admin/password-recovery.php. Parametry username i mobileno przyjmują niezwalidowane dane wejściowe użytkownika, które są następnie konkatenowane bezpośrednio do zapytania SQL po stronie backendu.

Ocena ryzyka

Atakujący może wstrzyknąć dowolne zapytania SQL, co może prowadzić do ujawnienia lub modyfikacji danych, a w szczególności do przejęcia procesu odzyskiwania hasła i konta administratora. Może to skutkować pełnym przejęciem systemu.

Rekomendacja

Wdróż parametryzowane zapytania (prepared statements) i walidację danych wejściowych w endpoincie /admin/password-recovery.php. Zaktualizuj aplikację do wersji zawierającej poprawkę, jeśli jest dostępna.

Inne podatności w PHPGurukul Billing System

CVE-2025-65380Średnie
PHPGurukul Billing System 1.0 jest podatny na SQL Injection w endpoincie admin/index.php. Parametr username przyjmuje niezwalidowane dane wejściowe użytkownika, które są następnie konkatenowane bezpośrednio do zapytania SQL po stronie backendu.

Oryginalny opis (angielski, źródło NVD)

PHPGurukul Billing System 1.0 is vulnerable to SQL Injection in the /admin/password-recovery.php endpoint. Specifically, the username and mobileno parameters accepts unvalidated user input, which is then concatenated directly into a backend SQL query.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS