CVE-2026-14695
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 znaleziono podatność SQL injection w funkcji save_client pliku classes/Users.php. Manipulacja argumentem Name w komponencie obsługi rejestracji umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy lub eskalacji uprawnień w systemie zarządzania sklepem.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. W międzyczasie zaleca się walidację i sanityzację danych wejściowych w argumencie Name.
Inne podatności w SourceCodester Multi-Vendor Online Grocery Management System
Zobacz wszystkie- CVE-2026-14694Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność SQL injection w funkcji cancel_order pliku classes/Master.php. Atakujący może zdalnie manipulować argumentem ID, co prowadzi do wstrzyknięcia SQL.
- CVE-2026-14693Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność w funkcji cancel_order w pliku classes/Master.php. Manipulacja tą funkcją może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-14692Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0/5.7.26 wykryto podatność na iniekcję SQL. Problem dotyczy funkcji save_shop_type w pliku classes/Master.php, która nieprawidłowo przetwarza parametry POST. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-14691Średnie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność polegającą na wstrzykiwaniu kodu. Problem występuje w funkcji update_settings_info w pliku classes/SystemSettings.php, gdzie argument content[] jest manipulowany. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-14690Wysokie
W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto słabość w funkcji save_users pliku classes/Users.php, która prowadzi do nieprawidłowej autoryzacji. Podatność może być zdalnie wykorzystana, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in SourceCodester Multi-Vendor Online Grocery Management System 1.0. This affects the function save_client of the file classes/Users.php of the component Registration Handler. The manipulation of the argument Name results in sql injection. It is possible to launch the attack remotely. The exploit has been made public and could be used.