CVE-2026-7407
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_settings pliku /pizzafy/admin/ajax.php?action=save_settings (komponent Setting Handler). Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
Ocena ryzyka
Możliwe wstrzyknięcie SQL przez funkcję save_settings, co może skutkować wyciekiem lub modyfikacją danych. Publiczny exploit zwiększa ryzyko.
Rekomendacja
Zaktualizuj aplikację do wersji naprawionej lub wdróż walidację i parametryzację zapytań. Ogranicz dostęp do panelu administracyjnego.
Inne podatności w Pizzafy Ecommerce System
Zobacz wszystkie- CVE-2026-7408Średnie
Wykryto podatność w Pizzafy Ecommerce System 1.0 w funkcji save_menu pliku /admin/ajax.php?action=save_menu. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7267Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 w pliku /view_prod.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny i może zostać wykorzystany.
- CVE-2026-7266Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 funkcja save_order w pliku /admin/ajax.php?action=save_order jest podatna na wstrzyknięcie SQL poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7264Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 zidentyfikowano lukę w funkcji get_cart_items w pliku /admin/ajax.php?action=get_cart_items, polegającą na manipulacji argumentem ID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in SourceCodester Pizzafy Ecommerce System 1.0. Affected by this vulnerability is the function save_settings of the file /pizzafy/admin/ajax.php?action=save_settings of the component Setting Handler. Such manipulation leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS