CVE-2026-10290
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W systemie Hotel and Tourism Reservation System 1.0 od code-projects występuje podatność SQL Injection w pliku tour.php. Zdalny atakujący może manipulować parametrem GET 'tour', co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść dane lub je modyfikować, co zagraża integralności systemu.
Rekomendacja
Zastosuj parametryzację zapytań SQL lub użyj prepared statements w pliku tour.php. Natychmiast zaktualizuj system do bezpiecznej wersji.
Inne podatności w Hotel and Tourism Reservation System
Zobacz wszystkie- CVE-2026-10289Średnie
W systemie Hotel and Tourism Reservation System 1.0 od code-projects odkryto lukę w pliku /ht/tour.php. Manipulacja argumentami name, email, people, number prowadzi do podatności na cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-10288Wysokie
W systemie code-projects Hotel and Tourism Reservation System 1.0, w pliku /admin/login.php funkcja password_verify nieprawidłowo uwierzytelnia argument Password, co prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in code-projects Hotel and Tourism Reservation System 1.0. The affected element is an unknown function of the file tour.php of the component GET Parameter Handler. Executing a manipulation of the argument tour can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks.