CVE-2025-69935
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w plikach report.php i revenue_report.php poprzez parametr fromDate.
Ocena ryzyka
Atakujący może manipulować raportami finansowymi, co może prowadzić do fałszowania danych przychodów i naruszenia integralności finansowej.
Rekomendacja
Zaimplementuj walidację daty i używaj zapytań parametryzowanych w report.php oraz revenue_report.php.
Inne podatności w CodeAstro Membership Management System
Zobacz wszystkie- CVE-2025-69938Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku renew.php poprzez parametr membershipType.
- CVE-2025-69937Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w endpointcie edit_type.php poprzez parametr id.
- CVE-2025-69936Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /edit_member.php?id=1.
- CVE-2025-69934Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /delete_members.php?id=1.
- CVE-2025-69933Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /memberProfile.php?id=1.
- CVE-2025-69931Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /delete_membership.php?id=1.
- CVE-2025-69930Krytyczne
CodeAstro Membership Management System 1.0 zawiera podatność na wstrzykiwanie SQL w pliku /print_membership_card.php poprzez parametr id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2026-36387Średnie
W systemie CODEASTRO Membership Management System v1.0 wykryto podatność zdalnego wykonania kodu (RCE) w pliku /add_members.php. Luka wynika z nieprawidłowej sanityzacji przesyłanych plików, co umożliwia atakującemu wstrzyknięcie złośliwych plików i zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
CodeAstro Membership Management System 1.0 is vulnerale to SQL Injection in the report.php and revenue_report.php via the fromDate parameter.