CVE-2026-114255

WysokieCVSS 7.3

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

W projekcie oretnom23 file-management-system-php funkcja save_user w pliku admin_class.php (komponent User Account Management) jest podatna na wstrzyknięcie SQL poprzez manipulację argumentami name/username/password/type/id. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Atakujący może modyfikować lub tworzyć konta użytkowników oraz wykonywać dowolne zapytania SQL, co grozi przejęciem kont administracyjnych i kompromitacją bazy danych.

Rekomendacja

Zastosuj zapytania parametryzowane i walidację danych wejściowych w funkcji save_user; wobec braku wersjonowania wdróż własną poprawkę i ogranicz dostęp do panelu administracyjnego.

Inne podatności w oretom23 file-management-system-php

CVE-2026-114258Wysokie
W projekcie oretnom23 file-management-system-php w pliku files.php (komponent File Management) manipulacja argumentem fid/id prowadzi do wstrzyknięcia SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in oretnom23 file-management-system-php up to 2e3c1ebe60f121e8df4fb3f544f0e9591d9a01e4. This impacts the function save_user of the file admin_class.php of the component User Account Management. The manipulation of the argument name/username/password/type/id results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS