CVE-2026-5839
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W aplikacji PHPGurukul News Portal Project 4.1 wykryto podatność SQL Injection w pliku /admin/add-subcategory.php. Manipulacja argumentem sucatdescription pozwala na wstrzyknięcie złośliwego kodu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Podatność może pozwolić atakującemu na nieautoryzowany dostęp do bazy danych, modyfikację lub kradzież danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy niezwłocznie zaktualizować aplikację do wersji pozbawionej podatności lub zastosować poprawki filtrujące dane wejściowe. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w PHPGurukul News Portal Project
Zobacz wszystkie- CVE-2025-69992Krytyczne
phpgurukul News Portal Project V4.1 zawiera podatność na przesyłanie plików przez upload.php, która umożliwia przesyłanie plików dowolnego formatu na serwer bez uwierzytelnienia.
- CVE-2025-69991Krytyczne
phpgurukul News Portal Project V4.1 jest podatny na atak SQL Injection w pliku check_availablity.php.
- CVE-2025-69990Krytyczne
phpgurukul News Portal Project V4.1 zawiera podatność na dowolne usuwanie plików w remove_file.php. Parametr file może spowodować usunięcie dowolnego pliku.
- CVE-2026-5840Średnie
W PHPGurukul News Portal Project 4.1 wykryto lukę w nieznanej funkcji pliku /admin/check_availability.php. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-5838Średnie
W PHPGurukul News Portal Project 4.1 wykryto podatność SQL Injection w pliku /admin/add-subadmins.php. Manipulacja argumentem sadminusername prowadzi do wstrzyknięcia kodu SQL. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in PHPGurukul News Portal Project 4.1. This issue affects some unknown processing of the file /admin/add-subcategory.php. Such manipulation of the argument sucatdescription leads to sql injection. The attack may be launched remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS