CVE-2026-100739
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W projekcie CloudClassroom-PHP-Project wykryto podatność typu SQL injection w pliku viewresult.php, polegającą na manipulacji argumentem seno. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny. Produkt jest dostarczany w modelu rolling release, więc szczegóły wersji nie są podane, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wstrzykiwać zapytania SQL i uzyskać dostęp do danych w bazie lub je modyfikować. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Wdrożyć walidację i parametryzację zapytań SQL w pliku viewresult.php oraz ograniczyć dostęp do aplikacji. Do czasu wydania poprawki rozważyć wyłączenie lub odizolowanie podatnego komponentu.
Inne podatności w CloudClassroom-PHP-Project
Zobacz wszystkie- CVE-2026-101013Wysokie
Wykryto podatność bezpieczeństwa w mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Dotyczy nieznanej funkcji w pliku updateresultdetails.php. Manipulacja argumentem editid prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-100877Średnie
W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcjonalności pliku registrationform.php. Manipulacja argumentami FName/LName/Addrs prowadzi do cross site scripting, a atak można przeprowadzić zdalnie.
- CVE-2026-100875Wysokie
W projekcie mathurvishal CloudClassroom-PHP-Project do commit 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto podatność w nieznanej funkcji pliku updatedetailsfromfaculty.php. Manipulacja argumentem myfid prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-100874Wysokie
W projekcie mathurvishal CloudClassroom-PHP-Project do commit 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto podatność w nieznanej funkcji pliku addnewstudent.php. Manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-100314Wysokie
W projekcie CloudClassroom-PHP-Project do konkretnego commita wykryto podatność SQL injection w pliku updatedetailsfromstudent.php poprzez argument eno. Atak może być przeprowadzony zdalnie.
- CVE-2026-101012Wysokie
Zidentyfikowano słabość w mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Dotyczy nieznanej funkcji w pliku makeresult.php. Manipulacja argumentem makeid powoduje wstrzyknięcie SQL. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-100894Średnie
W projekcie CloudClassroom-PHP-Project wykryto podatność na iniekcję SQL w pliku updateguest.php. Manipulacja argumentem gname umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.
- CVE-2026-100876Średnie
W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcji pliku loginlinkstudent.php. Manipulacja argumentem umail prowadzi do braku uwierzytelniania, a atak można przeprowadzić zdalnie.
- CVE-2026-100873Średnie
W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcji. Manipulacja prowadzi do cross-site request forgery, a atak można przeprowadzić zdalnie.
- CVE-2026-100315Wysokie
W projekcie CloudClassroom-PHP-PHP do konkretnego commita wykryto podatność SQL injection w pliku mydetailsfaculty.php poprzez argument myfid. Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in mathurvishal CloudClassroom-PHP-Project up to 5dadec098bfbbf3300d60c3494db3fb95b66e7be. This impacts an unknown function of the file viewresult.php. Performing a manipulation of the argument seno results in sql injection. Remote exploitation of the attack is possible. The exploit is now public and may be used. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS