CVE-2026-114249
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie Insurance-Management-System wykryto podatność w nieznanym kodzie pliku `/Agent/includes/UpdatePolicyHolder-inc.php` w komponencie formularza aktualizacji ubezpieczającego. Manipulacja argumentem `Policy_no` prowadzi do niewłaściwej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Możliwość zdalnego obejścia autoryzacji może pozwolić na nieautoryzowane modyfikacje danych ubezpieczających.
Rekomendacja
Zastosuj poprawki lub obejścia (np. weryfikację uprawnień) do czasu udostępnienia aktualizacji przez projekt.
Inne podatności w Insurance-Management-System
Zobacz wszystkie- CVE-2026-114243Wysokie
W aplikacji Insurance-Management-System wykryto podatność SQL Injection w funkcji mysqli_query w pliku /Agent/ManagePolicy/EditPolicyHolder.php. Manipulacja argumentem Policy_no/Name pozwala na wstrzyknięcie kodu SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-114242Wysokie
W systemie Insurance-Management-System wykryto podatność w funkcji `mysqli_query` w pliku `/Admin/View/editPlan.php`. Manipulacja argumentem `Plan_no/Name` prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2024-31064Średnie
Podatność Cross Site Scripting (XSS) w systemie Insurance Management System w wersji 1.0.0 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez pole "First Name".
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in dhikshitha29 Insurance-Management-System 91de5edda5baa109ad8e9baf03ce6a3ceda84183/125362cc21dca20d74091a4913a5096bb58dd837. This vulnerability affects unknown code of the file /Agent/includes/UpdatePolicyHolder-inc.php of the component Policy Holder Update Form. The manipulation of the argument Policy_no results in improper authorization. It is possible to launch the attack remotely. The exploit is now public and may be used. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS