CVE-2026-103115
ŚrednieCVSS 6.3Streszczenie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Nieznana funkcja w pliku functions/CustomFieldsFnc.php komponentu Student Search pozwala na manipulację argumentem cust, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
SQL Injection może umożliwić atakującemu nieautoryzowany dostęp do danych uczniów lub innych informacji w bazie.
Rekomendacja
Zaktualizuj openSIS-Classic do wersji z poprawką lub zastosuj parametryzowane zapytania.
Inne podatności w OS4ED openSIS-Classic
Zobacz wszystkie- CVE-2026-103117Średnie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja db_properties w pliku functions/DatabaseInc.php komponentu Save Data Handler pozwala na manipulację argumentem values, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-103116Średnie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja DBQuery w pliku functions/GetStuListFnc.php komponentu Student List Search Endpoint pozwala na manipulację argumentem LO_sort, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-103114Średnie
Podatność SQL injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja DBQuery_assignment w pliku modules/grades/Assignments.php (komponent Assignment Management Endpoint) pozwala na manipulację argumentem Tables, co umożliwia zdalny atak. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in OS4ED openSIS-Classic up to 9.3. This affects an unknown function of the file functions/CustomFieldsFnc.php of the component Student Search. The manipulation of the argument cust results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS