CVE-2026-105233
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W systemie food-waste-management-system (kishor-23) wykryto lukę w nieznanej funkcji pliku login.php w komponencie Login Flow. Manipulacja argumentem PHPSESSID prowadzi do session fixation, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; projekt nie używa wersjonowania, więc informacje o podatnych wersjach są niedostępne.
Ocena ryzyka
Atakujący może zdalnie przeprowadzić session fixation, przejmując sesję użytkownika i uzyskując nieautoryzowany dostęp do aplikacji.
Rekomendacja
Zastosuj poprawkę od dostawcy lub ręcznie zabezpiecz obsługę PHPSESSID (regeneracja identyfikatora sesji po logowaniu) oraz monitoruj nietypowe działania na sesjach.
Inne podatności w food-waste-management-system
Zobacz wszystkie- CVE-2026-105232Wysokie
W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność w nieznanej funkcji pliku delivery/deliverysignup.php komponentu Registration Page. Manipulacja argumentami username/email/location powoduje wstrzyknięcie SQL. Atak można zainicjować zdalnie, a exploit został opublikowany.
- CVE-2026-105231Wysokie
W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność w nieznanej funkcji pliku admin/signup.php komponentu Admin Registration. Manipulacja argumentami email/username/location powoduje wstrzyknięcie SQL. Atak można zainicjować zdalnie, a exploit jest publiczny.
- CVE-2026-105230Wysokie
W kishor-23 food-waste-management-system (commit 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c) wykryto podatność w nieznanej funkcji pliku delivery/deliverymyord.php. Manipulacja argumentami delivery_person_id/order_id prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit został ujawniony publicznie.
- CVE-2026-105229Wysokie
W systemie kishor-23 food-waste-management-system wykryto podatność w pliku signup.php komponentu rejestracji użytkownika. Manipulacja argumentami email/name/gender prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.
- CVE-2026-105170Wysokie
Brak uwierzytelnienia w systemie food-waste-management-system od kishor-23. Dotyczy pliku admin/signup.php w komponencie Admin Signup, gdzie manipulacja argumentem sign powoduje brak uwierzytelnienia. Atak może być zainicjowany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105169Wysokie
Podatność SQL injection w systemie food-waste-management-system od kishor-23. Dotyczy pliku delivery/delivery.php w komponencie Take Order Handler, gdzie manipulacja argumentami order_id/delivery_person_id prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105167Wysokie
W systemie kishor-23 food-waste-management-system (konkretne commity) stwierdzono podatność w nieznanej funkcji pliku admin/donate.php. Manipulacja argumentem location prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt używa systemu ciągłego wydawania, więc wersje nie są podawane; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105166Wysokie
W systemie kishor-23 food-waste-management-system (konkretne commity) stwierdzono podatność w funkcji insert pliku fooddonateform.php komponentu Food Donation Form. Manipulacja argumentem image-choice prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt używa strategii ciągłego wydawania, więc wersje nie są podawane; projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in kishor-23 food-waste-management-system 411989e3ecb82895e53dca7865f72145f03d7d93/b3a70b2c492dc9904de5be1ad9389bd79b87f82c. This affects an unknown function of the file login.php of the component Login Flow. Such manipulation of the argument PHPSESSID leads to session fixiation. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS