CVE-2026-10248
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W systemie Pharmacy Sales and Inventory System do wersji 1.0 odkryto podatność na wstrzykiwanie CSV. Problem występuje w interfejsie tworzenia dostawcy, gdzie argumenty Address/Company Name są nieprawidłowo przetwarzane. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe formuły CSV, co może prowadzić do wykonania niepożądanych akcji w arkuszach kalkulacyjnych użytkowników eksportujących dane.
Rekomendacja
Należy zaktualizować system do najnowszej wersji lub zastosować łatkę zabezpieczającą przed wstrzykiwaniem CSV. Ograniczyć dostęp do interfejsu tworzenia dostawcy.
Inne podatności w Pharmacy Sales and Inventory System
Zobacz wszystkie- CVE-2026-10255Średnie
Pharmacy Sales and Inventory System 1.0 ma podatność w funkcji sell_statement pliku application/controllers/ShowForm.php, prowadzącą do nieprawidłowej kontroli dostępu.
- CVE-2026-8136Niskie
W SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto podatność w nieznanej części pliku /index.php?page=users. Manipulacja argumentem Name może prowadzić do cross-site scripting. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.
- CVE-2026-7199Wysokie
W systemie Pharmacy Sales and Inventory System 1.0 od SourceCodester wykryto podatność w pliku /ajax.php?action=delete_product. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7129Średnie
Wykryto podatność w SourceCodester Pharmacy Sales and Inventory System 1.0. Dotyczy ona nieznanej funkcji pliku /index.php?page=categories. Manipulacja argumentem ID prowadzi do cross site scripting.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in SourceCodester Pharmacy Sales and Inventory System up to 1.0. This issue affects the function create_supplier of the file /Export_csv/export of the component Supplier Creation Interface. This manipulation of the argument Address/Company Name causes csv injection. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS