CVE-2026-105472
ŚrednieCVSS 6.3Streszczenie
W projekcie girishsaraf Online-Appointment-Booking-System wykryto podatność SQL injection w pliku book.php komponentu Booking Handler. Manipulacja argumentem Doctor/appointment pozwala na przeprowadzenie ataku zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Atakujący zdalnie może wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych. Publicznie dostępny exploit zwiększa ryzyko aktywnego wykorzystania.
Rekomendacja
Ze względu na brak odpowiedzi projektu i strategię rolling release, rozważ wdrożenie własnych poprawek walidacji danych wejściowych lub zaprzestanie korzystania z tego komponentu. Monitoruj logi pod kątem podejrzanych zapytań.
Inne podatności w Online-Appointment-Booking-System
Zobacz wszystkie- CVE-2026-105471Wysokie
W systemie Online-Appointment-Booking-System (girishsaraf) wykryto podatność SQL injection w pliku signup.php, w komponencie obsługi rejestracji. Manipulacja argumentem fname pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105470Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku locateus.php (komponent Doctor Search Endpoint) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argument doctorname. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105469Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku get_town.php (komponent AJAX Endpoint) manipulacja argumentami countryid/townid/cid/didval/cidval prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-105468Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku Admin/mlogin.php (komponent Login Handler) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argumenty uname/pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105387Wysokie
W systemie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 odkryto lukę bezpieczeństwa. Dotyczy ona funkcji mysqli_query w pliku cover.php w komponencie Patient Login Handler. Manipulacja argumentem uname/psw prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Produkt używa podejścia rolling releases, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in girishsaraf Online-Appointment-Booking-System up to f427b4757128ca253d33d0cc4e87bbb9c999a4d5. The affected element is an unknown function of the file book.php of the component Booking Handler. This manipulation of the argument Doctor/appointment causes sql injection. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS