CVE-2025-65380

ŚrednieCVSS 6.5

Opublikowano: 02/12/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

PHPGurukul Billing System 1.0 jest podatny na SQL Injection w endpoincie admin/index.php. Parametr username przyjmuje niezwalidowane dane wejściowe użytkownika, które są następnie konkatenowane bezpośrednio do zapytania SQL po stronie backendu.

Ocena ryzyka

Atakujący może wstrzyknąć dowolne zapytania SQL, co może prowadzić do ujawnienia, modyfikacji lub usunięcia danych z bazy, a także obejścia uwierzytelniania. Może to skutkować pełnym przejęciem systemu.

Rekomendacja

Wdróż parametryzowane zapytania (prepared statements) i walidację danych wejściowych w endpoincie admin/index.php. Zaktualizuj aplikację do wersji zawierającej poprawkę, jeśli jest dostępna.

Inne podatności w PHPGurukul Billing System

CVE-2025-65379Średnie
PHPGurukul Billing System 1.0 jest podatny na SQL Injection w endpoincie /admin/password-recovery.php. Parametry username i mobileno przyjmują niezwalidowane dane wejściowe użytkownika, które są następnie konkatenowane bezpośrednio do zapytania SQL po stronie backendu.

Oryginalny opis (angielski, źródło NVD)

PHPGurukul Billing System 1.0 is vulnerable to SQL Injection in the admin/index.php endpoint. Specifically, the username parameter accepts unvalidated user input, which is then concatenated directly into a backend SQL query.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS