CVE-2026-14706
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie Online Examination 1.0 wykryto podatność SQL Injection w funkcji tworzenia quizów. Atakujący może zdalnie manipulować argumentami name/total/right/wrong/time/tag/desc w pliku /update.php?q=addquiz, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do bazy danych, wyciek danych oraz potencjalne przejęcie kontroli nad systemem. Publicznie dostępny exploit zwiększa ryzyko szybkiego ataku.
Rekomendacja
Należy natychmiast zastosować parametryzację zapytań SQL lub użyć prepared statements w pliku /update.php. Zaleca się również aktualizację systemu do najnowszej wersji lub zastosowanie łatki bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in code-projects Online Examination 1.0. This affects an unknown part of the file /update.php?q=addquiz of the component Quiz Creation Feature. The manipulation of the argument name/total/right/wrong/time/tag/desc leads to sql injection. The attack can be initiated remotely. The exploit is publicly available and might be used.