CVE-2026-109522
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wykryto podatność typu SQL injection w systemie Online-Appointment-Booking-System (girishsaraf) w pliku Admin/deleteclinic.php, w komponencie Admin CRUD Endpoint. Manipulacja argumentem cid/did pozwala na zdalne wykonanie ataku, a exploit został publicznie ujawniony. Projekt stosuje model rolling release, więc szczegóły wersji nie są podane, a zgłoszenie problemu pozostało bez odpowiedzi.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do nieautoryzowanego usunięcia lub modyfikacji danych klinik w systemie rezerwacji.
Rekomendacja
Natychmiast wdrożyć walidację i parametryzację zapytań SQL w pliku Admin/deleteclinic.php, a jeśli poprawka nie jest dostępna, rozważyć wyłączenie lub odizolowanie podatnego komponentu.
Inne podatności w Online-Appointment-Booking-System
Zobacz wszystkie- CVE-2026-109525Wysokie
Podatność w girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 dotyczy brakującej autoryzacji w pliku changebookingstatus.php, w komponencie submit2 Handler. Manipulacja argumentami username[]/timestamp[]/status[] prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-109524Średnie
W projekcie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 wykryto lukę w pliku Admin/showdoctor.php, polegającą na braku autoryzacji. Atakujący może zdalnie wykorzystać tę podatność, a exploit został publicznie ujawniony. Projekt nie odniósł się jeszcze do zgłoszenia, a ze względu na strategię rolling release nie można określić konkretnych wersji.
- CVE-2026-109523Wysokie
Wykryto podatność typu SQL injection w systemie Online-Appointment-Booking-System (girishsaraf) w pliku Admin/getclinic.php, w komponencie AJAX Endpoint. Manipulacja argumentem city/cid pozwala na zdalne wykonanie ataku, a exploit został publicznie ujawniony. Projekt używa modelu rolling release, więc informacje o wersjach nie są dostępne, a zgłoszenie problemu pozostało bez odpowiedzi.
- CVE-2026-109521Wysokie
Wykryto podatność typu SQL injection w systemie Online-Appointment-Booking-System (girishsaraf) w pliku changebookingstatus.php. Manipulacja argumentem dateselected pozwala na zdalne wykonanie ataku, a exploit jest publicznie dostępny. Produkt używa modelu rolling release, więc informacje o wersjach nie są dostępne, a zgłoszenie problemu pozostało bez odpowiedzi.
- CVE-2026-105472Średnie
W projekcie girishsaraf Online-Appointment-Booking-System wykryto podatność SQL injection w pliku book.php komponentu Booking Handler. Manipulacja argumentem Doctor/appointment pozwala na przeprowadzenie ataku zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-105471Wysokie
W systemie Online-Appointment-Booking-System (girishsaraf) wykryto podatność SQL injection w pliku signup.php, w komponencie obsługi rejestracji. Manipulacja argumentem fname pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105470Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku locateus.php (komponent Doctor Search Endpoint) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argument doctorname. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105469Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku get_town.php (komponent AJAX Endpoint) manipulacja argumentami countryid/townid/cid/didval/cidval prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-105468Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku Admin/mlogin.php (komponent Login Handler) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argumenty uname/pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105387Wysokie
W systemie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 odkryto lukę bezpieczeństwa. Dotyczy ona funkcji mysqli_query w pliku cover.php w komponencie Patient Login Handler. Manipulacja argumentem uname/psw prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Produkt używa podejścia rolling releases, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in girishsaraf Online-Appointment-Booking-System up to f427b4757128ca253d33d0cc4e87bbb9c999a4d5. Affected is an unknown function of the file Admin/deleteclinic.php of the component Admin CRUD Endpoint. The manipulation of the argument cid/did leads to sql injection. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS