CVE-2026-36387
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie CODEASTRO Membership Management System v1.0 wykryto podatność zdalnego wykonania kodu (RCE) w pliku /add_members.php. Luka wynika z nieprawidłowej sanityzacji przesyłanych plików, co umożliwia atakującemu wstrzyknięcie złośliwych plików i zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie, co prowadzi do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo wdrożyć walidację typów plików i ograniczyć uprawnienia katalogu uploadów.
Inne podatności w CODEASTRO Membership Management System
Zobacz wszystkie- CVE-2025-69938Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku renew.php poprzez parametr membershipType.
- CVE-2025-69937Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w endpointcie edit_type.php poprzez parametr id.
- CVE-2025-69936Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /edit_member.php?id=1.
- CVE-2025-69935Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w plikach report.php i revenue_report.php poprzez parametr fromDate.
- CVE-2025-69934Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /delete_members.php?id=1.
- CVE-2025-69933Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /memberProfile.php?id=1.
- CVE-2025-69931Krytyczne
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /delete_membership.php?id=1.
- CVE-2025-69930Krytyczne
CodeAstro Membership Management System 1.0 zawiera podatność na wstrzykiwanie SQL w pliku /print_membership_card.php poprzez parametr id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A Remote Code Execution vulnerability was found in CODEASTRO Membership Management System v1.0 in /add_members.php. This vulnerability affects the file upload functionality, where improper file sanitization allows attackers to inject malicious files which leads RCE.