CVE-2026-119619

WysokieCVSS 7.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W systemie cak-filemanagement-system wykryto podatność typu SQL injection w funkcji mysqli_query w pliku admin/save_student.php. Manipulacja argumentami date/department/subject/forwarded_to/action_taken_by/section/password pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Atakujący może wykonywać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych. Publiczny exploit zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Jak najszybciej zaktualizuj system do wersji zawierającej poprawkę lub ogranicz dostęp do pliku admin/save_student.php. W międzyczasie wdróż walidację danych wejściowych i monitoruj nietypowe zapytania SQL.

Inne podatności w cak-filemanagement-system

CVE-2026-119620Wysokie
W systemie cak-filemanagement-system wykryto podatność w funkcji move_uploaded_file w pliku admin/add_logs.php. Manipulacja argumentem File umożliwia nieograniczone przesyłanie plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in 37954679 cak-filemanagement-system up to 5e6433246475e66462e1fea980688de96a049297. This affects the function mysqli_query of the file admin/save_student.php. Performing a manipulation of the argument date/department/subject/forwarded_to/action_taken_by/section/password results in sql injection. The attack is possible to be carried out remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS