CVE-2026-14767
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W aplikacji CodeAstro Ecommerce Website 1.0 odkryto podatność na wstrzykiwanie SQL w pliku /ecommerce-website-php/customer/confirm.php. Atakujący może zdalnie manipulować parametrem invoice_no, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
Ocena ryzyka
Ryzyko obejmuje możliwość kradzieży danych klientów, modyfikacji treści sklepu oraz eskalacji uprawnień w systemie. Publicznie dostępny exploit ułatwia przeprowadzenie ataku.
Rekomendacja
Należy natychmiast zaktualizować aplikację do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo zaleca się walidację i sanityzację wszystkich danych wejściowych, szczególnie parametru invoice_no.
Inne podatności w CodeAstro Ecommerce Website
Zobacz wszystkie- CVE-2026-14799Średnie
W aplikacji CodeAstro Ecommerce Website 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /customer/my_account.php?my_wishlist. Manipulacja argumentem delete_wishlist umożliwia atakującemu zdalne wykonanie nieautoryzowanych zapytań do bazy danych. Exploit został opublikowany publicznie, co zwiększa ryzyko wykorzystania.
- CVE-2026-14639Średnie
W aplikacji CodeAstro Ecommerce Website 1.0 znaleziono podatność SQL Injection w pliku /ecommerce-website-php/customer/my_account.php?edit_account. Atak polega na manipulacji argumentem c_name, co umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został ujawniony publicznie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in CodeAstro Ecommerce Website 1.0. This affects an unknown part of the file /ecommerce-website-php/customer/confirm.php of the component POST Parameter Handler. The manipulation of the argument invoice_no results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.