CVE-2026-13555
WysokieCVSS 7.3Streszczenie
W systemie Online Hotel Management System 1.0 znaleziono podatność SQL Injection w pliku /admin/mod_users/controller.php?action=add. Manipulacja argumentem Name umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został opublikowany, co zwiększa ryzyko ataku.
Ocena ryzyka
Atakujący może zdalnie wykraść, zmodyfikować lub usunąć dane z bazy, w tym dane użytkowników i rezerwacji, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zastosować parametryzację zapytań SQL lub walidację wejścia dla argumentu Name. Zaleca się aktualizację systemu do najnowszej wersji lub wdrożenie tymczasowych poprawek.
Inne podatności w Online Hotel Management System
Zobacz wszystkie- CVE-2026-13557Średnie
W systemie Online Hotel Management System 1.0 od itsourcecode wykryto podatność na atak XSS w pliku /admin/mod_room/controller.php?action=add. Manipulacja argumentem Name w żądaniu POST umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit jest publicznie dostępny.
- CVE-2026-13553Wysokie
W systemie Online Hotel Management System 1.0 znaleziono lukę w pliku /admin/mod_amenities/controller.php?action=add. Manipulacja argumentem image umożliwia nieograniczone przesyłanie plików, co może prowadzić do zdalnego wykonania kodu. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-13552Wysokie
W systemie Online Hotel Management System 1.0 wykryto podatność SQL Injection w pliku /admin/mod_amenities/controller.php?action=edit. Atakujący może zdalnie manipulować argumentem amen_id, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.
- CVE-2026-14688Wysokie
W systemie Online Hotel Management System 1.0 od itsourcecode wykryto podatność SQL injection w pliku /admin/login.php. Atakujący może zdalnie manipulować argumentem email, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.
- CVE-2026-13556Średnie
W systemie Online Hotel Management System 1.0 od itsourcecode wykryto podatność na atak XSS. Nieznana część pliku /admin/mod_users/controller.php?action=edit w komponencie POST Request Handler pozwala na manipulację argumentem Name, co prowadzi do wykonania skryptów po stronie przeglądarki. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-13554Średnie
W systemie Online Hotel Management System 1.0 znaleziono podatność na atak XSS w pliku /admin/mod_amenities/controller.php?action=add. Manipulacja argumentem Name w żądaniu POST umożliwia zdalne wstrzyknięcie skryptów. Exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in itsourcecode Online Hotel Management System 1.0. Affected by this issue is some unknown functionality of the file /admin/mod_users/controller.php?action=add. The manipulation of the argument Name results in sql injection. The attack can be launched remotely. The exploit has been made public and could be used.