CVE-2026-105387
WysokieCVSS 7.3Streszczenie
W systemie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 odkryto lukę bezpieczeństwa. Dotyczy ona funkcji mysqli_query w pliku cover.php w komponencie Patient Login Handler. Manipulacja argumentem uname/psw prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Produkt używa podejścia rolling releases, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może wykorzystać iniekcję SQL do nieautoryzowanego dostępu do bazy danych, co może prowadzić do kradzieży danych pacjentów lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub tymczasowe wyłączenie funkcji, jeśli to możliwe, oraz monitorowanie systemu pod kątem podejrzanych działań.
Inne podatności w Online-Appointment-Booking-System
Zobacz wszystkie- CVE-2026-105470Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku locateus.php (komponent Doctor Search Endpoint) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argument doctorname. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105469Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku get_town.php (komponent AJAX Endpoint) manipulacja argumentami countryid/townid/cid/didval/cidval prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-105468Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku Admin/mlogin.php (komponent Login Handler) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argumenty uname/pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in girishsaraf Online-Appointment-Booking-System up to f427b4757128ca253d33d0cc4e87bbb9c999a4d5. This affects the function mysqli_query of the file cover.php of the component Patient Login Handler. The manipulation of the argument uname/psw results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS