CVE-2026-114264
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W ProjectWorlds Advanced Library Management System 1.0 w pliku edit_member.php manipulacja argumentami firstname/middlename/lastname/address/branch/type prowadzi do wstrzyknięcia SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Ocena ryzyka
Atakujący może wykonywać dowolne zapytania SQL, co grozi wyciekiem danych członków biblioteki, ich modyfikacją lub usunięciem oraz eskalacją uprawnień.
Rekomendacja
Zaktualizuj aplikację do wersji z poprawką lub wdróż zapytania parametryzowane i walidację danych w edit_member.php; ogranicz dostęp sieciowy do aplikacji.
Inne podatności w ProjectWorlds Advanced Library Management System
Zobacz wszystkie- CVE-2026-114266Średnie
W ProjectWorlds Advanced Library Management System 1.0 wykryto podatność bezpieczeństwa w funkcji mysqli_query w pliku profile.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-114265Średnie
W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku returned_book_search.php (komponent formularza wyszukiwania) nie zabezpiecza argumentów datefrom/dateto, co umożliwia wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystany do ataków.
- CVE-2025-11426Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność w pliku /edit_book.php. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików, co może umożliwić zdalne wykonanie kodu. Exploit został opublikowany i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in ProjectWorlds Advanced Library Management System 1.0. The impacted element is an unknown function of the file edit_member.php. Performing a manipulation of the argument firstname/middlename/lastname/address/branch/type results in sql injection. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS