CVE-2025-67146
KrytyczneStreszczenie
Wiele podatności SQL Injection w GYM-MANAGEMENT-SYSTEM 1.0 od AbhishekMali21, występujących w parametrach 'name' i 'id' w różnych skryptach. Nieuwierzytelniony atakujący może wstrzykiwać złośliwe polecenia SQL, prowadząc do nieautoryzowanego dostępu do danych, ominięcia uwierzytelniania lub modyfikacji bazy danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych, zmienić zawartość bazy lub ominąć mechanizmy logowania, co stanowi poważne zagrożenie dla integralności systemu.
Rekomendacja
Zastosuj poprawki lub ogranicz dostęp do aplikacji, a także używaj sparametryzowanych zapytań SQL.
Inne podatności w GYM-MANAGEMENT-SYSTEM
Zobacz wszystkie- CVE-2025-12610Średnie
W CodeAstro Gym Management System 1.0 wykryto podatność w nieznanej części pliku /admin/view-progress-report.php. Manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12242Średnie
W systemie Gym Management System 1.0 firmy CodeAstro wykryto podatność SQL injection w pliku /admin/actions/check-attendance.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-11592Średnie
W systemie Gym Management System 1.0 odkryto podatność SQL injection w pliku /admin/edit-equipmentform.php. Manipulacja argumentem ID umożliwia zdalne wstrzyknięcie SQL. Exploit jest publiczny.
- CVE-2025-11589Średnie
W systemie Gym Management System 1.0 odkryto podatność SQL injection w pliku /admin/user-payment.php. Manipulacja argumentem plan umożliwia zdalne wstrzyknięcie SQL. Exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL Injection vulnerabilities exist in AbhishekMali21 GYM-MANAGEMENT-SYSTEM 1.0 via the 'name' parameter in (1) member_search.php, (2) trainer_search.php, and (3) gym_search.php, and via the 'id' parameter in (4) payment_search.php. An unauthenticated remote attacker can exploit these issues to inject malicious SQL commands, leading to unauthorized data extraction, authentication bypass, or modification of database contents.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS