CVE-2026-15540
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Online Book Store System 1.0 wykryto podatność polegającą na niekontrolowanym dołączaniu plików (Local File Inclusion) w pliku /admin/index.php. Poprzez manipulację argumentem 'page' atakujący może zdalnie dołączyć dowolny plik PHP, co prowadzi do nieautoryzowanego dostępu do danych lub wykonania kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego odczytu wrażliwych plików konfiguracyjnych, wykonanie złośliwego kodu oraz przejęcie kontroli nad aplikacją, co może skutkować wyciekiem danych lub całkowitym naruszeniem integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą, która filtruje argument 'page' i uniemożliwia dołączanie plików spoza dozwolonego katalogu. Dodatkowo warto wdrożyć walidację wejścia oraz ograniczyć uprawnienia do plików.
Inne podatności w SourceCodester Online Book Store System
Zobacz wszystkie- CVE-2026-15539Średnie
W systemie SourceCodester Online Book Store System 1.0 wykryto podatność w funkcji przesyłania obrazów książek w pliku /admin/index.php?page=books. Umożliwia ona nieograniczone przesyłanie plików, co może prowadzić do zdalnego wykonania kodu. Exploit został opublikowany publicznie.
- CVE-2026-15537Wysokie
W systemie SourceCodester Online Book Store System 1.0 odkryto podatność SQL injection w pliku admin/login.php. Atakujący może zdalnie manipulować argumentem Username, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany publicznie.
- CVE-2026-15532Niskie
W systemie SourceCodester Online Book Store System 1.0 wykryto podatność na atak XSS w module zarządzania użytkownikami. Manipulacja argumentami Name lub Username umożliwia zdalne wykonanie skryptu. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in SourceCodester Online Book Store System 1.0. The affected element is an unknown function of the file /admin/index.php of the component Administrative Interface. Performing a manipulation of the argument page results in improper control of filename for include/require statement in php program. It is possible to initiate the attack remotely. The exploit is now public and may be used.