CVE-2025-67146
KrytyczneStreszczenie
Wiele podatności SQL Injection w GYM-MANAGEMENT-SYSTEM 1.0 od AbhishekMali21, występujących w parametrach 'name' i 'id' w różnych skryptach. Nieuwierzytelniony atakujący może wstrzykiwać złośliwe polecenia SQL, prowadząc do nieautoryzowanego dostępu do danych, ominięcia uwierzytelniania lub modyfikacji bazy danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych, zmienić zawartość bazy lub ominąć mechanizmy logowania, co stanowi poważne zagrożenie dla integralności systemu.
Rekomendacja
Zastosuj poprawki lub ogranicz dostęp do aplikacji, a także używaj sparametryzowanych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL Injection vulnerabilities exist in AbhishekMali21 GYM-MANAGEMENT-SYSTEM 1.0 via the 'name' parameter in (1) member_search.php, (2) trainer_search.php, and (3) gym_search.php, and via the 'id' parameter in (4) payment_search.php. An unauthenticated remote attacker can exploit these issues to inject malicious SQL commands, leading to unauthorized data extraction, authentication bypass, or modification of database contents.