CVE-2026-7266
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W SourceCodester Pizzafy Ecommerce System 1.0 funkcja save_order w pliku /admin/ajax.php?action=save_order jest podatna na wstrzyknięcie SQL poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne zapytania SQL w kontekście aplikacji, co grozi naruszeniem poufności i integralności danych oraz przejęciem systemu.
Rekomendacja
Niezwłocznie wdróż poprawkę lub odizoluj podatny endpoint; zastosuj parametryzację zapytań i walidację argumentu ID.
Inne podatności w Pizzafy Ecommerce System
Zobacz wszystkie- CVE-2026-7408Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_menu pliku /admin/ajax.php?action=save_menu. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7407Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_settings pliku /pizzafy/admin/ajax.php?action=save_settings (komponent Setting Handler). Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-7267Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 w pliku /view_prod.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny i może zostać wykorzystany.
- CVE-2026-7264Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 zidentyfikowano lukę w funkcji get_cart_items w pliku /admin/ajax.php?action=get_cart_items, polegającą na manipulacji argumentem ID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in SourceCodester Pizzafy Ecommerce System 1.0. The impacted element is the function save_order of the file /admin/ajax.php?action=save_order. The manipulation of the argument ID results in sql injection. The attack can be executed remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS