CVE-2026-78056
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wykryto podatność w systemie Student-Management-System autorstwa sambitraj. Nieznana funkcjonalność komponentu Dashboard pozwala na manipulację argumentami roll_no/teacher_name, co prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia. Projekt nie odpowiedział na zgłoszenie, więc ryzyko pozostaje niezałatane.
Rekomendacja
Należy natychmiast ograniczyć dostęp do systemu i monitorować logi pod kątem podejrzanych zapytań. Skontaktuj się z autorem projektu w celu uzyskania poprawki lub rozważ zastosowanie zapory aplikacyjnej (WAF) do filtrowania ataków SQL injection.
Inne podatności w Student-Management-System
Zobacz wszystkie- CVE-2026-18958Wysokie
W systemie Student-Management-System (commit 18ea7904...) wykryto podatność SQL injection w pliku loginCheckTest.php w komponencie Login. Manipulacja argumentami username/password umożliwia zdalny atak. Exploit jest publiczny, a produkt nie używa wersjonowania, więc nie ma informacji o dotkniętych wersjach.
- CVE-2026-18927Średnie
Podatność w systemie zarządzania studentami imranrisal-dev Student-Management-System umożliwia nieograniczone przesyłanie plików przez funkcję storeProfileImage w pliku student_profile_pic.php. Atakujący może zdalnie manipulować argumentem choose_file, co prowadzi do przesłania dowolnego pliku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-11532Średnie
W projekcie imvks786 student_management_system do commitu 9599b560ad3c3b83e75d328b76bedcd489ef1f46 zidentyfikowano słabość w nieznanej funkcji pliku /add.php komponentu Student Record Handler. Wykonanie manipulacji może prowadzić do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Projekt używa systemu wydań ciągłych, więc informacje o wersjach nie są ujawniane. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-11476Średnie
W systemie Kushan2k student-management-system do wersji f16a4ceaddd6729c4b306ed4641cda3176c1ef2a wykryto podatność na nieprawidłową autoryzację w funkcji edit-admin pliku controllers/AdminController.php w komponencie Profile Update Endpoint poprzez manipulację argumentem isadmin. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Produkt stosuje model ciągłego wydawania, więc nie podano wersji.
- CVE-2026-11474Wysokie
Kushan2k student-management-system do commitu f16a4ce ma podatność nieograniczonego przesyłania plików w pliku service/RegisterService.php poprzez argument stimg. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10272Średnie
Student-Management-System (do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0) ma podatność w pliku admin/deleteform.php, gdzie argument sid prowadzi do nieprawidłowej autoryzacji.
- CVE-2026-10271Średnie
Podatność w Student-Management-System (a4m4) do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0. Nieznana funkcja w pliku admin/ umożliwia wykonanie kodu po przekierowaniu (open redirect). Atak zdalny możliwy.
- CVE-2026-10112Niskie
W sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność XSS na stronie Dashboard. Manipulacja argumentem Name umożliwia zdalne wykonanie skryptu. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10111Wysokie
W systemie sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność na wstrzykiwanie SQL w komponencie strony logowania. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-9562Wysokie
Podatność w projekcie STUDENT-MANAGEMENT-SYSTEM (do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5) w komponencie Dashboard, prowadząca do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in sambitraj Student-Management-System up to 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5. Affected by this issue is some unknown functionality of the component Dashboard. The manipulation of the argument roll_no/teacher_name results in sql injection. The attack can be executed remotely. The exploit is now public and may be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The project was informed of the problem early through an issue report but has not responded yet.