CVE-2026-114250
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W aplikacji itsourcecode Sales-and-Inventory-System wykryto podatność SQL injection w pliku /pages/cust_edit.php, wynikającą z manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
Ocena ryzyka
Możliwe jest nieautoryzowane odczytanie lub modyfikacja danych w bazie, co może prowadzić do wycieku danych i przejęcia kontroli nad aplikacją.
Rekomendacja
Wprowadź walidację i parametryzację zapytań SQL dla argumentu ID, ogranicz dostęp do aplikacji i wdróż poprawkę, gdy tylko będzie dostępna.
Inne podatności w itsourcecode Sales-and-Inventory-System
Zobacz wszystkie- CVE-2026-90700Średnie
W itsourcecode Sales and Inventory System 1.0 wykryto podatność w nieznanej funkcji pliku /pages/pro_edit1.php. Manipulacja argumentem prodcode prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-90574Średnie
W itsourcecode Sales and Inventory System 1.0 wykryto podatność SQL injection w nieznanej funkcji pliku /pages/emp_transac.php?action=add. Manipulacja argumentem firstname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-86517Średnie
Wada w itsourcecode Sales and Inventory System 1.0 dotyczy funkcji mysqli_query w pliku /pages/us_searchfrm.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-86310Średnie
W systemie itsourcecode Sales and Inventory System 1.0 znaleziono podatność w nieznanej funkcji pliku /pages/cust_edit1.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-86309Średnie
W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność w nieznanej funkcji pliku /pages/pro_searchfrm.php. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być inicjowany zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-86291Średnie
W itsourcecode Sales and Inventory System 1.0 wykryto podatność w pliku /pages/us_edit1.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-86269Średnie
W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /pages/emp_edit1.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-86265Średnie
W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /pages/us_transac.php. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-86245Średnie
W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /pages/sup_transac.php. Manipulacja argumentem companyname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-86232Średnie
Podatność w itsourcecode Sales and Inventory System 1.0. Nieznana funkcjonalność w pliku /pages/sup_del.php?type=supplier jest podatna na wstrzyknięcie SQL przez argument ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in itsourcecode Sales-and-Inventory-System up to 0a3c45a78aaff3601b8cf9ce8ba82ff5c345caac. This issue affects some unknown processing of the file /pages/cust_edit.php. This manipulation of the argument ID causes sql injection. The attack can be initiated remotely. The exploit has been published and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS