CVE-2026-11584
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W systemie CodeAstro Student Attendance Management System 1.0 stwierdzono podatność w nieznanej funkcji pliku /attendance-php/Admin/createClass.php?action=edit. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania nieautoryzowanych zapytań SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w bazie danych systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu do najnowszej wersji oraz wdrożenie walidacji danych wejściowych i użycie sparametryzowanych zapytań SQL w pliku createClass.php.
Inne podatności w CodeAstro Student Attendance Management System
Zobacz wszystkie- CVE-2026-11585Średnie
W systemie CodeAstro Student Attendance Management System 1.0 stwierdzono podatność w nieznanej funkcji pliku /attendance-php/Admin/createClassArms.php. Manipulacja argumentem classId prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-11583Średnie
W systemie CodeAstro Student Attendance Management System 1.0 stwierdzono podatność w nieznanej funkcji pliku /attendance-php/Admin/createClass.php. Manipulacja argumentem className prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-11582Wysokie
W systemie CodeAstro Student Attendance Management System 1.0 znaleziono podatność na iniekcję SQL w pliku /attendance-php/index.php poprzez manipulację argumentem Username. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in CodeAstro Student Attendance Management System 1.0. This impacts an unknown function of the file /attendance-php/Admin/createClass.php?action=edit. The manipulation of the argument ID results in sql injection. It is possible to launch the attack remotely. The exploit has been made public and could be used.