CVE-2026-100904
NiskieCVSS 3.5Streszczenie
W projekcie mini-inventory-and-sales-management-system wykryto podatność na cross-site scripting (XSS) w pliku application/controllers/Items.php. Manipulacja argumentem itemName umożliwia zdalny atak. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych ataków. Publiczny exploit zwiększa ryzyko.
Rekomendacja
Należy zaktualizować system do najnowszej wersji, jeśli dostępna, lub zastosować poprawki. Należy również rozważyć walidację i sanityzację danych wejściowych.
Inne podatności w mini-inventory-and-sales-management-system
Zobacz wszystkie- CVE-2026-100887Średnie
W projekcie Mini-Inventory-and-Sales-Management-System wykryto podatność na iniekcję SQL w funkcji order_by w pliku DB_query_builder.php. Manipulacja argumentem orderBy umożliwia zdalny atak. Exploit jest publicznie dostępny. Projekt nie jest już wspierany przez autora.
- CVE-2026-76785Średnie
W systemie Mini-Inventory-and-Sales-Management-System 0.1 odkryto podatność SQL injection w funkcji Transaction::getAll pliku application/models/Transaction.php. Manipulacja argumentami orderBy/orderFormat umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystywany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in amirsanni mini-inventory-and-sales-management-system up to 81bf0b55f5933f3b0dbb1583204a612e06605b95. Impacted is an unknown function of the file application/controllers/Items.php of the component Items Management Module. The manipulation of the argument itemName leads to cross site scripting. Remote exploitation of the attack is possible. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS