CVE-2026-6488

ŚrednieCVSS 6.3

Opublikowano: 17/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W aplikacji QueryMine sms wykryto podatność w pliku admin/editcourse.php, polegającą na manipulacji parametrem ID prowadzącej do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny. Produkt korzysta z ciągłego dostarczania, więc nie ma szczegółów wersji.

Ocena ryzyka

Możliwe nieautoryzowane zapytania do bazy danych, wyciek lub modyfikacja danych oraz przejęcie kontroli nad aplikacją. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Jak najszybciej wdrożyć poprawkę od dostawcy lub tymczasowo wyłączyć/ograniczyć dostęp do pliku admin/editcourse.php. Zastosować walidację parametrów i reguły WAF blokujące próby SQL injection.

Inne podatności w QueryMine sms

CVE-2026-6489Średnie
W QueryMine sms do wersji 7ab5a9ea196209611134525ffc18de25c57d9593 wykryto lukę w pliku admin/addteacher.php w komponencie Background Management Page. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in QueryMine sms up to 7ab5a9ea196209611134525ffc18de25c57d9593. This vulnerability affects unknown code of the file admin/editcourse.php of the component GET Request Parameter Handler. The manipulation of the argument ID leads to sql injection. The attack can be initiated remotely. The exploit is publicly available and might be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS