CVE-2025-9755
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W systemie Khanakag-17 Library Management System do wersji 60ed174506094dcd166e34904a54288e5d10ff24 odkryto podatność XSS w pliku /index.php. Manipulacja argumentem msg umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych ataków. Publiczny exploit zwiększa ryzyko.
Rekomendacja
Należy zdezynfekować dane wejściowe i używać odpowiednich nagłówków bezpieczeństwa, np. Content-Security-Policy. Ogranicz dostęp do podatnego pliku.
Inne podatności w Library Management System
Zobacz wszystkie- CVE-2026-56034Krytyczne
W systemie Library Management System w wersji 3.5.7 i starszych występuje podatność na wstrzykiwanie SQL (SQL Injection) bez wymaganego uwierzytelnienia. Atakujący może zdalnie wykonać dowolne zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-18666Średnie
Wtyczka Library Management System dla WordPressa przed wersją 3.6.7 nie sanityzuje i nie escapuje parametru dostarczanego przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą co najmniej Subskrybenta wykonanie wstrzyknięcia SQL i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.
- CVE-2026-12582Wysokie
Wtyczka Library Management System dla WordPress przed wersją 3.5.8 nie oczyszcza ani nie escapuje parametru dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL injection i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Khanakag-17 Library Management System up to 60ed174506094dcd166e34904a54288e5d10ff24. This affects an unknown function of the file /index.php. The manipulation of the argument msg leads to cross site scripting. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS