CVE-2026-7264
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W SourceCodester Pizzafy Ecommerce System 1.0 zidentyfikowano lukę w funkcji get_cart_items w pliku /admin/ajax.php?action=get_cart_items, polegającą na manipulacji argumentem ID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Możliwe jest nieautoryzowane wykonanie zapytań SQL, co może prowadzić do wycieku lub modyfikacji danych.
Rekomendacja
Zaktualizuj oprogramowanie do wersji zawierającej poprawkę lub wdróż walidację danych wejściowych i parametryzację zapytań.
Inne podatności w Pizzafy Ecommerce System
Zobacz wszystkie- CVE-2026-7408Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_menu pliku /admin/ajax.php?action=save_menu. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7407Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_settings pliku /pizzafy/admin/ajax.php?action=save_settings (komponent Setting Handler). Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-7267Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 w pliku /view_prod.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny i może zostać wykorzystany.
- CVE-2026-7266Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 funkcja save_order w pliku /admin/ajax.php?action=save_order jest podatna na wstrzyknięcie SQL poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in SourceCodester Pizzafy Ecommerce System 1.0. Impacted is the function get_cart_items of the file /admin/ajax.php?action=get_cart_items. Executing a manipulation of the argument ID can lead to sql injection. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS