CVE-2026-54419
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
PIAF-HMS (PBX-In-A-Flash Hotel Management System) zawiera wiele podatności na wstrzykiwanie SQL bez uwierzytelniania. Aplikacja nie ma mechanizmu uwierzytelniania i przekazuje parametry HTTP bezpośrednio do przestarzałych wywołań mysql_query przez konkatenację stringów, bez sanityzacji, escapowania czy parametryzacji.
Ocena ryzyka
Atakujący może bez uwierzytelniania manipulować zapytaniami do bazy danych, co może prowadzić do wycieku danych, modyfikacji lub usunięcia danych, a także do przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast wdrożyć uwierzytelnianie i autoryzację, a także używać parametryzowanych zapytań lub ORM. Zaleca się również wstrzymanie używania systemu do czasu naprawy.
Oryginalny opis (angielski, źródło NVD)
claudiopizzillo PIAF-HMS (PBX-In-A-Flash Hotel Management System; no released versions, latest commit 389d2633441b65ced1c104212cd62be2bfca21e5) contains multiple unauthenticated SQL injection vulnerabilities. The application has no authentication mechanism and passes user-supplied HTTP parameters directly into deprecated mysql_query calls via string concatenation, without sanitization, escaping, or parameterization.