CVE-2026-5558
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W PHPGurukul Online Shopping Portal Project do wersji 2.1 w pliku /pending-orders.php stwierdzono podatność na wstrzykiwanie SQL poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych zamówień, co może prowadzić do kradzieży danych klientów lub modyfikacji zamówień.
Rekomendacja
Należy natychmiast zastosować parametryzację zapytań SQL lub użyć prepared statements w pliku pending-orders.php, a także ograniczyć dostęp do tego pliku.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in PHPGurukul PHPGurukul Online Shopping Portal Project up to 2.1. Impacted is an unknown function of the file /pending-orders.php of the component Parameter Handler. This manipulation of the argument ID causes sql injection. The attack is possible to be carried out remotely. The exploit has been published and may be used.