CVE-2026-103229
WysokieCVSS 7.3Streszczenie
Podatność w AdithyaYelloju Restaurant-Management-System do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Dotyczy funkcji mysqli_query w pliku admin/delete1.php komponentu Unauthenticated Action Script. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wstrzyknięcia SQL bez uwierzytelnienia, co może prowadzić do nieautoryzowanego dostępu do bazy danych i naruszenia integralności systemu.
Rekomendacja
Zastosuj poprawki lub zaktualizuj system. Sanityzuj dane wejściowe i używaj przygotowanych zapytań. Ogranicz dostęp do aplikacji.
Inne podatności w Restaurant-Management-System
Zobacz wszystkie- CVE-2026-109116Wysokie
Podatność w Restaurant-Management-System firmy AdithyaYelloju. Funkcja mysqli_query w komponencie Order Management pozwala na obejście autoryzacji poprzez manipulację argumentem ID.
- CVE-2026-109115Wysokie
Podatność SQL Injection w pliku User/forgot3.php komponentu Password Reset w Restaurant-Management-System. Manipulacja argumentami email/password prowadzi do wstrzyknięcia SQL.
- CVE-2026-109114Wysokie
Podatność w pliku User/login.php komponentu Login Form w Restaurant-Management-System. Manipulacja argumentami email/passwd prowadzi do nieprawidłowego uwierzytelnienia.
- CVE-2026-103233Średnie
Wykryto lukę bezpieczeństwa w AdithyaYelloju Restaurant-Management-System do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Dotyczy ona nieznanej funkcji w pliku /admin/ komponentu Admin Area. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-103232Wysokie
W projekcie AdithyaYelloju Restaurant-Management-System do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c wykryto podatność w funkcji mysqli_query w pliku admin/table_booking.php. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Możliwa jest zdalna eksploatacja, a exploit został publicznie udostępniony. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-103231Wysokie
Podatność w AdithyaYelloju Restaurant-Management-System do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Dotyczy funkcji mysqli_query w pliku User/cancel.php komponentu Order Cancellation. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-103230Wysokie
Podatność w AdithyaYelloju Restaurant-Management-System do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Dotyczy funkcji mysqli_query w pliku User/ord.php komponentu Order Placement. Manipulacja argumentem id/name prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-95868Średnie
Podatność SQL Injection w Restaurant-Management-System do konkretnego commita. Dotyczy funkcji mysqli_query w pliku admin/display_menu.php w komponencie Search Form. Manipulacja argumentem s1 umożliwia atak SQL Injection zdalnie. Exploit publiczny.
- CVE-2026-94042Średnie
W systemie AdithyaYelloju Restaurant Management System (do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c) wykryto lukę w funkcji mysqli_query w pliku admin/add_table.php. Manipulacja argumentami table/members/price prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-94041Średnie
W systemie AdithyaYelloju Restaurant-Management-System (do wersji 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c) wykryto lukę w nieznanej funkcjonalności pliku admin/add_menu.php. Manipulacja argumentami item/price/image/type prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in AdithyaYelloju Restaurant-Management-System up to 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. This issue affects the function mysqli_query of the file admin/delete1.php of the component Unauthenticated Action Script. Performing a manipulation of the argument ID results in sql injection. The attack can be initiated remotely. The exploit has been made public and could be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS