CVE-2026-7199
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie Pharmacy Sales and Inventory System 1.0 od SourceCodester wykryto podatność w pliku /ajax.php?action=delete_product. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane w bazie danych, co prowadzi do wycieku danych lub uszkodzenia systemu.
Rekomendacja
Należy natychmiast zastosować poprawkę od producenta lub wyłączyć dostęp do pliku /ajax.php?action=delete_product. W międzyczasie zaleca się filtrowanie danych wejściowych.
Inne podatności w Pharmacy Sales and Inventory System
Zobacz wszystkie- CVE-2026-10255Średnie
Pharmacy Sales and Inventory System 1.0 ma podatność w funkcji sell_statement pliku application/controllers/ShowForm.php, prowadzącą do nieprawidłowej kontroli dostępu.
- CVE-2026-10248Średnie
W systemie Pharmacy Sales and Inventory System do wersji 1.0 odkryto podatność na wstrzykiwanie CSV. Problem występuje w interfejsie tworzenia dostawcy, gdzie argumenty Address/Company Name są nieprawidłowo przetwarzane. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in SourceCodester Pharmacy Sales and Inventory System 1.0. Affected by this vulnerability is an unknown functionality of the file /ajax.php?action=delete_product. Performing a manipulation of the argument ID results in sql injection. It is possible to initiate the attack remotely. The exploit is now public and may be used.