CVE-2026-114252
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W aplikacji itsourcecode Sales-and-Inventory-System wykryto podatność SQL Injection w pliku /pages/cust_searchfrm.php, polegającą na manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny. Produkt korzysta z modelu rolling release, więc nie podano konkretnych wersji.
Ocena ryzyka
Możliwe jest zdalne wykonanie zapytań SQL, wyciek lub modyfikacja danych w bazie oraz przejęcie kontroli nad aplikacją. Publiczna dostępność exploita znacząco zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Jak najszybciej wdrożyć poprawkę od producenta lub ręcznie zabezpieczyć parametr ID (walidacja i parametryzacja zapytań). Do czasu aktualizacji rozważyć ograniczenie dostępu do aplikacji z internetu.
Inne podatności w Sales-and-Inventory-System
Zobacz wszystkie- CVE-2026-90600Średnie
W itsourcecode Sales and Inventory System 1.0 wykryto podatność w nieznanej funkcji pliku /pages/inv_edit1.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2026-90597Średnie
W itsourcecode Sales and Inventory System 1.0 wykryto lukę w nieznanej funkcji pliku /pages/sup_edit1.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2026-90525Średnie
W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność polegającą na manipulacji argumentem firstname w pliku /pages/cust_pos_trans.php, co prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-86675Średnie
Podatność w itsourcecode Sales and Inventory System 1.0 dotyczy nieznanej części pliku /pages/us_edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być uruchomiony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-86270Średnie
Podatność SQL injection w itsourcecode Sales and Inventory System 1.0, dotycząca nieznanej funkcji w pliku /pages/settings_edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-86236Średnie
W Sales and Inventory System 1.0 od itsourcecode wykryto podatność w pliku /pages/pro_transac.php?action=add. Manipulacja argumentem Name prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-86235Średnie
W Sales and Inventory System 1.0 od itsourcecode wykryto podatność w pliku /pages/pos_transac.php?action=add. Manipulacja argumentem Customer prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-86234Średnie
W Sales and Inventory System 1.0 od itsourcecode wykryto podatność w pliku /pages/cust_transac.php?action=add. Manipulacja argumentem firstname prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-86233Średnie
W Sales and Inventory System 1.0 od itsourcecode wykryto podatność w pliku /pages/us_del.php?type=user. Manipulacja argumentem ID prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-82696Średnie
W systemie Sales and Inventory System 1.0 od itsourcecode wykryto podatność na SQL injection w pliku /pages/inv_searchfrm.php. Manipulacja argumentem ID umożliwia zdalne wykonanie zapytań SQL. Exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in itsourcecode Sales-and-Inventory-System up to 0a3c45a78aaff3601b8cf9ce8ba82ff5c345caac. The affected element is an unknown function of the file /pages/cust_searchfrm.php. Performing a manipulation of the argument ID results in sql injection. The attack may be initiated remotely. The exploit has been made public and could be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS