CVE-2026-105171

ŚrednieCVSS 6.3

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność w nieznanej funkcjonalności pliku admin/admin.php (komponent Role Attribute Handler). Manipulacja argumentem Name prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Produkt nie używa wersjonowania, więc informacje o wersjach są niedostępne. Wiele punktów końcowych jest podatnych. Projekt został poinformowany o problemie, ale nie odpowiedział.

Ocena ryzyka

Podatność umożliwia zdalne obejście autoryzacji, co może prowadzić do nieautoryzowanego dostępu do funkcji administracyjnych. Brak odpowiedzi od projektu zwiększa ryzyko braku poprawek.

Rekomendacja

Należy ręcznie zweryfikować i naprawić kod w pliku admin/admin.php, wprowadzając kontrolę dostępu opartą na rolach. Do czasu naprawy zaleca się ograniczenie dostępu do panelu administracyjnego.

Inne podatności w kishor-23 food-waste-management-system

CVE-2026-105168Średnie
W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność SQL injection w nieznanej funkcji pliku admin/admin.php (komponent Order Assignment Block). Manipulacja argumentami order_id/delivery_person_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Produkt używa rolling release, więc brak szczegółów wersji. Projekt został poinformowany, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in kishor-23 food-waste-management-system 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c. Affected by this vulnerability is an unknown functionality of the file admin/admin.php of the component Role Attribute Handler. Such manipulation of the argument Name leads to authorization bypass. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. Multiple endpoints are affected. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS