CVE-2026-112096
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W aplikacji SourceCodester Inventory System 1.0 wykryto podatność w pliku /api/transactions_handler.php (akcja save_purchase) obsługującym rekordy zakupów. Manipulacja argumentami Product_Name, Product_Code lub Vendor_Name prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Osoba atakująca może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce administratora lub użytkownika, co może prowadzić do kradzieży sesji lub danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj aplikację do wersji pozbawionej podatności lub wdroż walidację i kodowanie danych wejściowych dla wymienionych parametrów. Do czasu poprawki ogranicz dostęp do interfejsu API.
Inne podatności w SourceCodester Inventory System
Zobacz wszystkie- CVE-2026-112097Niskie
W SourceCodester Inventory System 1.0 wykryto podatność w nieznanym przetwarzaniu pliku /api/transactions_handler.php?action=save_sale w komponencie obsługi sprzedaży. Manipulacja argumentem Hsn_Code prowadzi do cross-site scripting (XSS), a atak można przeprowadzić zdalnie.
- CVE-2026-112095Niskie
W SourceCodester Inventory System 1.0 wykryto podatność w pliku /api/products_handler.php (akcja save) w komponencie zarządzania produktami. Manipulacja argumentami Product_Id lub Product_Name może prowadzić do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został opublikowany.
- CVE-2026-11520Niskie
W SourceCodester Inventory System 1.0 wykryto podatność na atak XSS w pliku header.php. Manipulacja nieznaną funkcjonalnością umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.
- CVE-2026-11519Średnie
W SourceCodester Inventory System 1.0 stwierdzono lukę w pliku /Product_Inventory/api/users_handler.php w komponencie Account Creation Handler. Manipulacja argumentem ROLE prowadzi do nieprawidłowej autoryzacji, co umożliwia zdalny atak.
- CVE-2026-11518Średnie
W systemie SourceCodester Inventory System 1.0 w pliku /users.php (komponent User Management Page) występuje podatność na cross-site scripting (XSS) poprzez parametry fullname i username. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in SourceCodester Inventory System 1.0. This vulnerability affects unknown code of the file /api/transactions_handler.php?action=save_purchase of the component Purchase Records Handler. The manipulation of the argument Product_Name/Product_Code/Vendor_Name leads to cross site scripting. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS