CVE-2026-103117
ŚrednieCVSS 4.7Streszczenie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja db_properties w pliku functions/DatabaseInc.php komponentu Save Data Handler pozwala na manipulację argumentem values, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
SQL Injection może umożliwić atakującemu nieautoryzowany dostęp do bazy danych, kradzież danych lub ich modyfikację.
Rekomendacja
Zaktualizuj openSIS-Classic do wersji, która zawiera poprawkę, lub zastosuj tymczasowe zabezpieczenia (np. filtrowanie wejścia).
Inne podatności w OS4ED openSIS-Classic
Zobacz wszystkie- CVE-2026-103116Średnie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja DBQuery w pliku functions/GetStuListFnc.php komponentu Student List Search Endpoint pozwala na manipulację argumentem LO_sort, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-103115Średnie
Podatność SQL Injection w OS4ED openSIS-Classic do wersji 9.3. Nieznana funkcja w pliku functions/CustomFieldsFnc.php komponentu Student Search pozwala na manipulację argumentem cust, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-103114Średnie
Podatność SQL injection w OS4ED openSIS-Classic do wersji 9.3. Funkcja DBQuery_assignment w pliku modules/grades/Assignments.php (komponent Assignment Management Endpoint) pozwala na manipulację argumentem Tables, co umożliwia zdalny atak. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in OS4ED openSIS-Classic up to 9.3. Affected is the function db_properties of the file functions/DatabaseInc.php of the component Save Data Handler. Such manipulation of the argument values leads to sql injection. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS