CVE-2026-108919
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W SourceCodester Drug Recommendation System 1.0 zidentyfikowano podatność typu cross-site scripting (XSS). Podatność występuje w pliku Auth/add_student.php i polega na braku walidacji argumentów txtname/txtpassword/txtemail/txtphone/txtprevious_school, co umożliwia wstrzyknięcie złośliwego kodu. Exploit został publicznie udostępniony i może być wykorzystany zdalnie.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary, co może prowadzić do kradzieży danych uwierzytelniających lub przejęcia sesji. Publiczna dostępność exploitu zwiększa ryzyko ataku.
Rekomendacja
Należy jak najszybciej zaktualizować oprogramowanie do wersji z poprawką lub wdrożyć walidację i sanityzację danych wejściowych w pliku Auth/add_student.php. Do czasu aktualizacji zaleca się ograniczenie dostępu do formularza rejestracji.
Inne podatności w SourceCodester Drug Recommendation System
Zobacz wszystkie- CVE-2026-108920Średnie
W SourceCodester Drug Recommendation System 1.0 wykryto podatność typu cross-site scripting (XSS). Podatność występuje w pliku Admin/user_record.php i polega na braku walidacji argumentów name/email, co pozwala na wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
- CVE-2026-105704Wysokie
Wykryto podatność w SourceCodester Drug Recommendation System 1.0. Problem dotyczy nieznanej funkcji komponentu Auth Guard. Manipulacja argumentem user_id prowadzi do nieprawidłowego uwierzytelnienia. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-105179Niskie
W SourceCodester Drug Recommendation System 1.0 wykryto słabość w nieznanej funkcji pliku Admin/add_user.php (komponent Password Handler). Manipulacja argumentem Password może prowadzić do braku szyfrowania danych wrażliwych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105178Średnie
W SourceCodester Drug Recommendation System 1.0 wykryto podatność SQL injection w funkcji mysqli_real_escape_string w pliku /Admin/add_symptom.php (komponent Symptom Creation). Manipulacja argumentem txtname pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105177Średnie
W SourceCodester Drug Recommendation System 1.0 wykryto podatność SQL injection w nieznanej funkcji pliku /Admin/add_drug.php (komponent Drug Creation). Manipulacja argumentami txtname/cmdtype/txtusage/txtsideeffect/cmdcontraindication prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105176Średnie
W SourceCodester Drug Recommendation System 1.0 wykryto podatność SQL injection w nieznanej funkcji pliku /Admin/edit_class.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-94035Średnie
W SourceCodester Drug Recommendation System 1.0 wykryto podatność w nieznanej funkcji pliku /drug_recommender/index.php. Manipulacja argumentem full name prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-94034Niskie
W systemie SourceCodester Drug Recommendation System 1.0 znaleziono podatność. Problem dotyczy nieznanego przetwarzania w pliku /drug_recommender/Admin/change_password komponentu Zmiana hasła. Manipulacja argumentami txtoldpassword/txtnewpassword prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.
- CVE-2026-94033Niskie
W systemie SourceCodester Drug Recommendation System 1.0 wykryto podatność. Podatność dotyczy nieznanego kodu w pliku /drug_recommender/Admin/add_user komponentu Zarządzanie użytkownikami. Manipulacja argumentami txtname/txtemail/txtpassword prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty.
- CVE-2026-94016Niskie
W systemie SourceCodester Drug Recommendation System 1.0 wykryto podatność bezpieczeństwa. Podatność dotyczy nieznanej funkcji w pliku /drug_recommender/Admin/add_symptom. Manipulacja argumentem txtname prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty do ataków.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in SourceCodester Drug Recommendation System 1.0. The impacted element is an unknown function of the file Auth/add_student.php of the component Student Registration. This manipulation of the argument txtname/txtpassword/txtemail/txtphone/txtprevious_school causes cross site scripting. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS