CVE-2026-7116
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W code-projects Employee Management System 1.0 wykryto lukę w pliku 370project/mark.php, polegającą na podatności cross-site scripting. Manipulacja danymi wejściowymi pozwala na zdalne wykorzystanie podatności, a publiczny exploit jest już dostępny i może być używany w atakach.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, przechwytując sesję lub wykonując działania w jej imieniu. Publiczna dostępność exploitu zwiększa prawdopodobieństwo wykorzystania.
Rekomendacja
Wdróż poprawkę lub ogranicz dostęp do aplikacji, jeśli poprawka nie jest dostępna. Wprowadź walidację i kodowanie danych wejściowych oraz rozważ wdrożenie WAF.
Inne podatności w Employee Management System
Zobacz wszystkie- CVE-2026-76764Wysokie
W systemie Employee Management System 1.0 firmy code-projects znaleziono podatność w nieznanej funkcji pliku /process/aprocess.php komponentu Admin Login Endpoint. Manipulacja argumentem mailuid powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-9451Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /process/applyleaveprocess.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9450Średnie
W systemie Employee Management System 1.0 stwierdzono podatność na wstrzykiwanie SQL w pliku /psubmit.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9449Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /changepassemp.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9448Średnie
Podatność XSS w pliku /applyleave.php w Employee Management System 1.0. Manipulacja argumentem ID prowadzi do wykonania skryptów po stronie przeglądarki.
- CVE-2026-7118Średnie
W code-projects Employee Management System 1.0 w pliku 370project/cancel.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.
- CVE-2026-7117Średnie
W code-projects Employee Management System 1.0 w pliku 370project/approve.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7115Średnie
W code-projects Employee Management System 1.0 w pliku 370project/delete.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7114Średnie
W aplikacji Employee Management System 1.0 (code-projects) wykryto podatność w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-7095Średnie
Zidentyfikowano podatność w code-projects Employee Management System 1.0 w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in code-projects Employee Management System 1.0. This issue affects some unknown processing of the file 370project/mark.php. Performing a manipulation results in cross site scripting. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS