CVE-2026-14799
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W aplikacji CodeAstro Ecommerce Website 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /customer/my_account.php?my_wishlist. Manipulacja argumentem delete_wishlist umożliwia atakującemu zdalne wykonanie nieautoryzowanych zapytań do bazy danych. Exploit został opublikowany publicznie, co zwiększa ryzyko wykorzystania.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych klientów, w tym danych osobowych i finansowych, a także potencjalnie przejąć kontrolę nad aplikacją.
Rekomendacja
Należy natychmiast zaktualizować aplikację do najnowszej wersji lub zastosować poprawkę zabezpieczającą przed wstrzykiwaniem SQL. W międzyczasie zaleca się tymczasowe wyłączenie funkcji zarządzania listą życzeń.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in CodeAstro Ecommerce Website 1.0. Impacted is an unknown function of the file /customer/my_account.php?my_wishlist. The manipulation of the argument delete_wishlist results in sql injection. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks.