CVE-2026-105168

ŚrednieCVSS 6.3

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność SQL injection w nieznanej funkcji pliku admin/admin.php (komponent Order Assignment Block). Manipulacja argumentami order_id/delivery_person_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Produkt używa rolling release, więc brak szczegółów wersji. Projekt został poinformowany, ale nie odpowiedział.

Ocena ryzyka

Podatność umożliwia zdalne wykonanie dowolnych zapytań SQL, co może prowadzić do wycieku lub modyfikacji danych. Brak odpowiedzi od projektu zwiększa ryzyko braku poprawek.

Rekomendacja

Należy ręcznie naprawić kod w pliku admin/admin.php, stosując parametryzację zapytań i walidację danych wejściowych. Do czasu naprawy zaleca się ograniczenie dostępu do panelu administracyjnego.

Inne podatności w kishor-23 food-waste-management-system

CVE-2026-105171Średnie
W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność w nieznanej funkcjonalności pliku admin/admin.php (komponent Role Attribute Handler). Manipulacja argumentem Name prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Produkt nie używa wersjonowania, więc informacje o wersjach są niedostępne. Wiele punktów końcowych jest podatnych. Projekt został poinformowany o problemie, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in kishor-23 food-waste-management-system 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c. This affects an unknown function of the file admin/admin.php of the component Order Assignment Block. The manipulation of the argument order_id/delivery_person_id leads to sql injection. It is possible to initiate the attack remotely. The exploit is publicly available and might be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS