CVE-2026-14692
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0/5.7.26 wykryto podatność na iniekcję SQL. Problem dotyczy funkcji save_shop_type w pliku classes/Master.php, która nieprawidłowo przetwarza parametry POST. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do bazy danych, wyciek wrażliwych informacji oraz potencjalną modyfikację lub usunięcie danych. Atak może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo, należy wdrożyć walidację i parametryzację zapytań SQL w funkcji save_shop_type.
Inne podatności w SourceCodester Multi-Vendor Online Grocery Management System
Zobacz wszystkie- CVE-2026-14695Wysokie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 znaleziono podatność SQL injection w funkcji save_client pliku classes/Users.php. Manipulacja argumentem Name w komponencie obsługi rejestracji umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-14694Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność SQL injection w funkcji cancel_order pliku classes/Master.php. Atakujący może zdalnie manipulować argumentem ID, co prowadzi do wstrzyknięcia SQL.
- CVE-2026-14693Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność w funkcji cancel_order w pliku classes/Master.php. Manipulacja tą funkcją może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-14691Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność polegającą na wstrzykiwaniu kodu. Problem występuje w funkcji update_settings_info w pliku classes/SystemSettings.php, gdzie argument content[] jest manipulowany. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-14690Wysokie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto słabość w funkcji save_users pliku classes/Users.php, która prowadzi do nieprawidłowej autoryzacji. Podatność może być zdalnie wykorzystana, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in SourceCodester Multi-Vendor Online Grocery Management System 1.0/5.7.26. Affected is the function save_shop_type of the file classes/Master.php of the component POST Parameter Handler. Performing a manipulation results in sql injection. The attack is possible to be carried out remotely. The exploit is now public and may be used.