CVE-2026-7267
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W SourceCodester Pizzafy Ecommerce System 1.0 w pliku /view_prod.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny i może zostać wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych oraz przejęciem kontroli nad aplikacją.
Rekomendacja
Jak najszybciej wdróż poprawkę lub zastąp podatny komponent; do tego czasu ogranicz dostęp do /view_prod.php i wdrażaj walidację oraz parametryzację zapytań SQL.
Inne podatności w Pizzafy Ecommerce System
Zobacz wszystkie- CVE-2026-7408Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_menu pliku /admin/ajax.php?action=save_menu. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7407Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_settings pliku /pizzafy/admin/ajax.php?action=save_settings (komponent Setting Handler). Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-7266Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 funkcja save_order w pliku /admin/ajax.php?action=save_order jest podatna na wstrzyknięcie SQL poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7264Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 zidentyfikowano lukę w funkcji get_cart_items w pliku /admin/ajax.php?action=get_cart_items, polegającą na manipulacji argumentem ID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in SourceCodester Pizzafy Ecommerce System 1.0. This affects an unknown function of the file /view_prod.php. This manipulation of the argument ID causes sql injection. The attack is possible to be carried out remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS