CVE-2026-30520
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W SourceCodester Loan Management System v1.0 występuje podatność na ślepe wstrzyknięcie SQL w pliku ajax.php w akcji save_loan. Parametr borrower_id nie jest odpowiednio oczyszczany, co pozwala uwierzytelnionemu atakującemu na wstrzyknięcie złośliwych poleceń SQL.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane w bazie danych, co może prowadzić do wycieku poufnych informacji lub naruszenia integralności systemu.
Rekomendacja
Należy zaktualizować system do najnowszej wersji lub ręcznie dodać walidację i parametryzację zapytań SQL dla parametru borrower_id.
Oryginalny opis (angielski, źródło NVD)
A Blind SQL Injection vulnerability exists in SourceCodester Loan Management System v1.0. The vulnerability is located in the ajax.php file (specifically the save_loan action). The application fails to properly sanitize user input supplied to the "borrower_id" parameter in a POST request, allowing an authenticated attacker to inject malicious SQL commands.