CVE-2026-10262
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Real State Services 1.0 od code-projects zawiera podatność na wstrzykiwanie SQL w pliku /loginuser.php komponentu Login poprzez manipulację argumentem Username. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
Ocena ryzyka
Zdalny atakujący może ominąć uwierzytelnianie i uzyskać dostęp do kont użytkowników, co może prowadzić do kradzieży danych lub przejęcia konta.
Rekomendacja
Należy natychmiast zastosować poprawkę lub zastąpić system bezpieczniejszym rozwiązaniem, a także używać parametryzowanych zapytań.
Inne podatności w Real State Services
Zobacz wszystkie- CVE-2026-13559Wysokie
W systemie Real State Services 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /single-list_sale.php?action=add. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
- CVE-2026-14768Wysokie
W kodzie-projekcie Real State Services 1.0 wykryto podatność na iniekcję SQL w pliku /builderHome.php. Atakujący może zdalnie manipulować argumentem loc, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
- CVE-2026-14747Wysokie
W systemie Real State Services 1.0 wykryto podatność SQL Injection w pliku /addprojectsale.php. Atakujący może zdalnie manipulować argumentem amen, co prowadzi do wstrzyknięcia kodu SQL.
- CVE-2026-14745Wysokie
W systemie Real State Services 1.0 wykryto podatność na iniekcję SQL w pliku /single-list_rent.php. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Publicznie dostępny exploit zwiększa ryzyko wykorzystania.
- CVE-2026-14743Wysokie
W systemie Real State Services 1.0 wykryto podatność SQL Injection w pliku /normalHomeSale.php. Atakujący może zdalnie manipulować argumentem 'loc', co prowadzi do wstrzyknięcia kodu SQL. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in code-projects Real State Services 1.0. This impacts an unknown function of the file /loginuser.php of the component Login. The manipulation of the argument Username leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.