CVE-2026-111871
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Zidentyfikowano słabość w systemie Online-Examination-System (do wersji e6208e630b14657999bbfe4c9912302d2a1e2449). Podatność dotyczy nieznanej funkcji w plikach qsdb/usersdb/brandb/topicsdb/subjectsdb.php. Manipulacja argumentami query, qtype, sortname lub sortorder prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Podatność umożliwia zdalne wykonanie dowolnych zapytań SQL, co może skutkować nieautoryzowanym dostępem do danych. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Należy jak najszybciej wdrożyć dostępne poprawki lub ograniczyć dostęp do systemu. Zaleca się monitorowanie nietypowych zapytań do bazy danych.
Inne podatności w Online-Examination-System
Zobacz wszystkie- CVE-2026-111992Średnie
Wykryto podatność w itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449. Problem dotyczy funkcji Exam::startExam w pliku exam.php w module Exam Module, gdzie manipulacja argumentem topicid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-111873Wysokie
Wykryto podatność w itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449. Dotyczy ona funkcji MySQLDB::topicslist w pliku exammanger.php komponentu AJAX Endpoint. Manipulacja argumentem subject prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest już publicznie dostępny i może być użyty. Produkt działa w modelu rolling release, więc nie ma szczegółów wersji dla wydań podatnych ani zaktualizowanych. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale jeszcze nie odpowiedział.
- CVE-2026-111872Wysokie
Wykryto podatność SQL injection w systemie Online-Examination-System (do wersji e6208e630b14657999bbfe4c9912302d2a1e2449). Podatność dotyczy funkcji MySQLDB::valid, MySQLDB::getresults, MySQLDB::noresults, MySQLDB::getExams, MySQLDB::latestExamID oraz MySQLDB::getreport w plikach results.php i include/database.php. Manipulacja argumentami id, user lub topic prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-111870Średnie
W systemie Online-Examination-System (itsmeravitejak) wykryto lukę w funkcji isAdmin w pliku admin/admin.php. Manipulacja prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.
- CVE-2026-110696Średnie
W itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449 wykryto słabość w nieznanej funkcji pliku dbtables.sql. Manipulacja może prowadzić do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Produkt działa w modelu rolling release, więc nie ma szczegółów wersji.
- CVE-2026-86238Średnie
W Online Examination System 1.0 od projectworlds wykryto podatność w komponencie Feedback Form, w pliku feedback.php. Manipulacja argumentami Name/Subject prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16220Średnie
Podatność w Online Examination System 1.0 od code-projects. Nieznany kod w pliku /account.php?q=quiz pozwala na manipulację argumentami eid/n/t, co prowadzi do ataku XSS (Cross-Site Scripting). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in itsmeravitejak Online-Examination-System up to e6208e630b14657999bbfe4c9912302d2a1e2449. The impacted element is an unknown function of the file qsdb/usersdb/brandb/topicsdb/subjectsdb.php. Executing a manipulation of the argument query/qtype/sortname/sortorder can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS