CVE-2026-56034
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie Library Management System w wersji 3.5.7 i starszych występuje podatność na wstrzykiwanie SQL (SQL Injection) bez wymaganego uwierzytelnienia. Atakujący może zdalnie wykonać dowolne zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
Ocena ryzyka
Ryzyko obejmuje kradzież, modyfikację lub usunięcie danych bibliotecznych, w tym danych użytkowników i książek. Możliwe jest również przejęcie kontroli nad systemem poprzez eskalację uprawnień.
Rekomendacja
Należy natychmiast zaktualizować system do wersji nowszej niż 3.5.7, która zawiera poprawkę eliminującą podatność. W międzyczasie zaleca się ograniczenie dostępu do systemu tylko dla zaufanych sieci.
Inne podatności w Library Management System
Zobacz wszystkie- CVE-2026-18666Średnie
Wtyczka Library Management System dla WordPressa przed wersją 3.6.7 nie sanityzuje i nie escapuje parametru dostarczanego przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą co najmniej Subskrybenta wykonanie wstrzyknięcia SQL i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.
- CVE-2026-12582Wysokie
Wtyczka Library Management System dla WordPress przed wersją 3.5.8 nie oczyszcza ani nie escapuje parametru dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL injection i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.
- CVE-2025-9755Średnie
W systemie Khanakag-17 Library Management System do wersji 60ed174506094dcd166e34904a54288e5d10ff24 odkryto podatność XSS w pliku /index.php. Manipulacja argumentem msg umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in Library Management System <= 3.5.7 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS