CVE-2026-13488
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Class and Exam Timetabling System 1.0/7.php wykryto podatność na iniekcję SQL w pliku /preview7.php. Manipulacja argumentem course_year_section umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany w rzeczywistych atakach.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, wycieku poufnych danych lub ich modyfikacji.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo zaleca się walidację i sanityzację wszystkich danych wejściowych w pliku /preview7.php.
Inne podatności w SourceCodester Class and Exam Timetabling System
Zobacz wszystkie- CVE-2026-85512Wysokie
W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto lukę bezpieczeństwa. Podatność dotyczy nieznanego kodu w pliku /admin/session.php. Manipulacja argumentem ID prowadzi do braku autoryzacji. Atak może być wykonany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.
- CVE-2026-13565Wysokie
W systemie SourceCodester Class and Exam Timetabling System 1.0 w pliku /edit_class1.php występuje podatność na wstrzyknięcie SQL poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-86298Wysokie
W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność w nieznanej funkcji pliku /delete_subject.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-86225Wysokie
Podatność w SourceCodester Class and Exam Timetabling System 1.0. Funkcja mysqli_query w pliku /admin/modal_add_room.php jest podatna na wstrzyknięcie SQL przez argument room_name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-86224Wysokie
Podatność w SourceCodester Class and Exam Timetabling System 1.0. Funkcja mysqli_query w pliku /admin/modal_add_product.php jest podatna na wstrzyknięcie SQL przez argument fname. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-86223Wysokie
Podatność w SourceCodester Class and Exam Timetabling System 1.0. Funkcja mysqli_query w pliku /admin/modal_add_coursea.php jest podatna na wstrzyknięcie SQL przez argument course. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-86222Wysokie
Podatność w SourceCodester Class and Exam Timetabling System 1.0. Funkcja mysqli_query w pliku /admin/modal_add_course2.php jest podatna na wstrzyknięcie SQL przez argument course. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-86221Wysokie
Podatność w SourceCodester Class and Exam Timetabling System 1.0. Funkcja mysqli_query w pliku /admin/modal_add_course1.php jest podatna na wstrzyknięcie SQL przez argument course. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-86220Wysokie
Podatność w SourceCodester Class and Exam Timetabling System 1.0. Funkcja mysqli_query w pliku /admin/modal_add_course.php jest podatna na wstrzyknięcie SQL przez argument course. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-86210Wysokie
W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /delete_user_account.php. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit został ujawniony publicznie i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in SourceCodester Class and Exam Timetabling System 1.0/7.php. Affected by this vulnerability is an unknown functionality of the file /preview7.php. The manipulation of the argument course_year_section results in sql injection. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS