CVE-2026-105225

ŚrednieCVSS 4.3

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Podatność wstrzyknięcia kodu w osCommerce2 do wersji 2.3.4.1. Dotyczy funkcji include w pliku includes/classes/payment.php w komponencie Payment Page, gdzie manipulacja argumentem MODULE_PAYMENT_INSTALLED prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu, co może prowadzić do przejęcia systemu i naruszenia danych płatności.

Rekomendacja

Zastosować odpowiednie filtry i walidację danych wejściowych dla argumentu MODULE_PAYMENT_INSTALLED. Należy również zaktualizować system do najnowszej wersji lub zastosować dostępne poprawki.

Inne podatności w osCommerce2

CVE-2026-105226Średnie
Podatność wstrzyknięcia kodu w osCommerce2 do wersji 2.3.4.1. Dotyczy funkcji include w pliku admin/newsletters.php w komponencie Newsletter Management, gdzie manipulacja argumentem module prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in osCommerce osCommerce2 up to 2.3.4.1. This affects the function include of the file includes/classes/payment.php of the component Payment Page. Such manipulation of the argument MODULE_PAYMENT_INSTALLED leads to code injection. The attack can be executed remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS