CVE-2026-112095
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W SourceCodester Inventory System 1.0 wykryto podatność w pliku /api/products_handler.php (akcja save) w komponencie zarządzania produktami. Manipulacja argumentami Product_Id lub Product_Name może prowadzić do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został opublikowany.
Ocena ryzyka
Możliwe jest wykonanie złośliwego skryptu w przeglądarce użytkownika, co grozi przejęciem sesji lub modyfikacją danych. Publiczny exploit zwiększa prawdopodobieństwo ataku.
Rekomendacja
Zaktualizuj aplikację do wersji z poprawką lub wdroż walidację i kodowanie danych wejściowych dla wskazanych parametrów. Rozważ ograniczenie dostępu do endpointu do czasu aktualizacji.
Inne podatności w SourceCodester Inventory System
Zobacz wszystkie- CVE-2026-112097Niskie
W SourceCodester Inventory System 1.0 wykryto podatność w nieznanym przetwarzaniu pliku /api/transactions_handler.php?action=save_sale w komponencie obsługi sprzedaży. Manipulacja argumentem Hsn_Code prowadzi do cross-site scripting (XSS), a atak można przeprowadzić zdalnie.
- CVE-2026-112096Niskie
W aplikacji SourceCodester Inventory System 1.0 wykryto podatność w pliku /api/transactions_handler.php (akcja save_purchase) obsługującym rekordy zakupów. Manipulacja argumentami Product_Name, Product_Code lub Vendor_Name prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-11520Niskie
W SourceCodester Inventory System 1.0 wykryto podatność na atak XSS w pliku header.php. Manipulacja nieznaną funkcjonalnością umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.
- CVE-2026-11519Średnie
W SourceCodester Inventory System 1.0 stwierdzono lukę w pliku /Product_Inventory/api/users_handler.php w komponencie Account Creation Handler. Manipulacja argumentem ROLE prowadzi do nieprawidłowej autoryzacji, co umożliwia zdalny atak.
- CVE-2026-11518Średnie
W systemie SourceCodester Inventory System 1.0 w pliku /users.php (komponent User Management Page) występuje podatność na cross-site scripting (XSS) poprzez parametry fullname i username. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in SourceCodester Inventory System 1.0. This affects an unknown part of the file /api/products_handler.php?action=save of the component Product Management. Executing a manipulation of the argument Product_Id/Product_Name can lead to cross site scripting. The attack may be performed from remote. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS