CVE-2026-14639
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W aplikacji CodeAstro Ecommerce Website 1.0 znaleziono podatność SQL Injection w pliku /ecommerce-website-php/customer/my_account.php?edit_account. Atak polega na manipulacji argumentem c_name, co umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został ujawniony publicznie.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do bazy danych, wyciek danych klientów oraz potencjalne przejęcie kontroli nad aplikacją.
Rekomendacja
Należy natychmiast zaktualizować aplikację do najnowszej wersji lub zastosować poprawkę zabezpieczającą przed SQL Injection, np. poprzez użycie sparametryzowanych zapytań.
Inne podatności w CodeAstro Ecommerce Website
Zobacz wszystkie- CVE-2026-14799Średnie
W aplikacji CodeAstro Ecommerce Website 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /customer/my_account.php?my_wishlist. Manipulacja argumentem delete_wishlist umożliwia atakującemu zdalne wykonanie nieautoryzowanych zapytań do bazy danych. Exploit został opublikowany publicznie, co zwiększa ryzyko wykorzystania.
- CVE-2026-14767Średnie
W aplikacji CodeAstro Ecommerce Website 1.0 odkryto podatność na wstrzykiwanie SQL w pliku /ecommerce-website-php/customer/confirm.php. Atakujący może zdalnie manipulować parametrem invoice_no, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in CodeAstro Ecommerce Website 1.0. This impacts an unknown function of the file /ecommerce-website-php/customer/my_account.php?edit_account. Such manipulation of the argument c_name leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.