CVE-2026-14637
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W bibliotece Ecommerce-CodeIgniter-Bootstrap wykryto podatność polegającą na deserializacji w funkcji getCartItems pliku ShoppingCart.php. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem shopping_cart. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu lub inne ataki wynikające z niebezpiecznej deserializacji, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Należy niezwłocznie zastosować patch dostępny pod identyfikatorem 49b20f53de2b7ec34e920b11c863f1491d911a04. Ze względu na ciągłe wydania, zaleca się aktualizację do najnowszej wersji zawierającej poprawkę.
Inne podatności w Ecommerce-CodeIgniter-Bootstrap
Zobacz wszystkie- CVE-2024-31823Krytyczne
Podatność w Ecommerce-CodeIgniter-Bootstrap pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez metodę removeSecondaryImage w komponencie Publish.php.
- CVE-2026-14636Średnie
W komponencie Vendor Image Manager w Ecommerce-CodeIgniter-Bootstrap wykryto podatność na path traversal. Funkcja do_upload_others_images w pliku AddProduct.php pozwala na manipulację argumentem folder, co umożliwia zdalne odczytywanie plików poza dozwolonym katalogiem.
- CVE-2026-14635Wysokie
W Ecommerce-CodeIgniter-Bootstrap do wersji 222ff31c06687b1c6d0e1ab63953f82c3674c52b wykryto podatność na manipulację ścieżką (path traversal) w pliku AddProduct.php komponentu Vendor Multi-Image Endpoint. Atakujący może zdalnie zmienić argument folder, co prowadzi do nieautoryzowanego dostępu do plików. Exploit został opublikowany i może być wykorzystywany w atakach.
- CVE-2026-14634Średnie
W kirilkirkov Ecommerce-CodeIgniter-Bootstrap do wersji 213babdbaa949e94557246414db0130e01394517 stwierdzono podatność na atak XSS w funkcji checkForPostRequests pliku application/core/MY_Controller.php. Manipulacja argumentem User-Agent umożliwia zdalne wykonanie skryptu.
- CVE-2026-14633Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 49b20f53 stwierdzono podatność na atak XSS w ukrytym punkcie końcowym REST API. Manipulacja argumentami title/description w pliku /index.php/api/product/set umożliwia zdalne wykonanie skryptów krzyżowych.
- CVE-2026-14632Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 95dfa8cebbb87ab46ae450643a07241274a74dce wykryto podatność w funkcji setReferrer pliku application/core/MY_Controller.php. Manipulacja argumentem href prowadzi do otwartego przekierowania (open redirect), które może być zdalnie wykorzystane.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in kirilkirkov Ecommerce-CodeIgniter-Bootstrap up to 13fd582aaf49aeab7438acc0fc3eb973a1f5e6a7. The affected element is the function getCartItems in the library application/libraries/ShoppingCart.php. The manipulation of the argument shopping_cart leads to deserialization. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The identifier of the patch is 49b20f53de2b7ec34e920b11c863f1491d911a04. It is recommended to apply a patch to fix this issue.