CVE-2026-14656
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W systemie Assessment Management 1.0 wykryto podatność na atak XSS w pliku /admin/remove-user.php. Manipulacja argumentem ID umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie wykonać skrypt w przeglądarce administratora, co grozi kradzieżą sesji, przejęciem konta lub kradzieżą danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować filtrowanie wejścia (walidacja i sanityzacja argumentu ID) oraz użyć nagłówków Content-Security-Policy.
Inne podatności w Assessment Management
Zobacz wszystkie- CVE-2026-76762Wysokie
W systemie Assessment Management 1.0 firmy code-projects wykryto podatność w nieznanej funkcji pliku /welcome.php. Manipulacja argumentem userid prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany.
- CVE-2026-14658Średnie
W systemie Assessment Management 1.0 wykryto podatność SQL Injection w pliku /lecturer/marking-scheme.php. Atakujący może zdalnie manipulować argumentem smarksrange[], co prowadzi do wstrzyknięcia kodu SQL. Exploit jest publicznie dostępny.
- CVE-2026-14657Średnie
W systemie Assessment Management 1.0 firmy code-projects wykryto podatność na wstrzykiwanie SQL w pliku /lecturer/marking-scheme.php. Atakujący może zdalnie manipulować argumentem squestions[], co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-14655Niskie
W systemie Assessment Management 1.0 wykryto podatność na atak XSS w pliku admin/view-users.php poprzez manipulację argumentem User. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in code-projects Assessment Management 1.0. This affects an unknown part of the file /admin/remove-user.php. The manipulation of the argument ID leads to cross site scripting. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used.