CVE-2026-114039
ŚrednieCVSS 6.3Streszczenie
W systemie Advanced Library Management System 1.0 (projekt projectworlds) wykryto podatność SQL injection w funkcji mysqli_query w pliku report_search.php. Manipulacja argumentami dateto/datefrom pozwala na wstrzyknięcie zapytań SQL.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych. Publicznie dostępny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Wprowadź walidację i parametryzację zapytań SQL dla argumentów dateto/datefrom oraz ogranicz dostęp do pliku report_search.php. Rozważ aktualizację lub zastąpienie podatnego komponentu.
Inne podatności w Advanced Library Management System
Zobacz wszystkie- CVE-2026-114263Wysokie
W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku individual_report_search.php jest podatna na SQL injection poprzez manipulację argumentem roll_number. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13278Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku /borrowed_book_search.php poprzez manipulację argumentami datefrom/dateto. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13256Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku /borrow.php poprzez manipulację argumentem roll_number. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13255Średnie
W systemie Advanced Library Management System 1.0 od projectworlds znaleziono podatność w pliku /book_search.php, gdzie manipulacja argumentami book_pub/book_title prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-13254Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność typu SQL injection w pliku /add_member.php, polegającą na manipulacji argumentem roll_number. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może zostać wykorzystany.
- CVE-2025-13253Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność typu SQL injection w pliku /add_librarian.php, wynikającą z manipulacji argumentem Username. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11425Niskie
W systemie Advanced Library Management System 1.0 firmy projectworlds odkryto podatność typu cross-site scripting (XSS) w nieznanej funkcji pliku /edit_admin.php. Manipulacja argumentem firstname umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in projectworlds Advanced Library Management System 1.0. Impacted is the function mysqli_query of the file report_search.php. Executing a manipulation of the argument dateto/datefrom can lead to sql injection. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS