CVE-2026-8117
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność typu cross-site scripting w pliku /admin/index.php. Manipulacja argumentem page pozwala na wstrzyknięcie złośliwego skryptu. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
Ocena ryzyka
Osoba atakująca może wykonać złośliwy skrypt w przeglądarce administratora, przechwycić sesję lub wykonać działania w jego imieniu. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj system do wersji pozbawionej podatności lub wdroż walidację i sanityzację parametru page. Do czasu poprawki ogranicz dostęp do panelu administracyjnego.
Inne podatności w SourceCodester Pizzafy Ecommerce System
Zobacz wszystkie- CVE-2026-16226Średnie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Funkcja save_settings w pliku /admin/admin_class_novo.php nie weryfikuje poprawnie argumentu img, co umożliwia zdalne wgranie dowolnego pliku.
- CVE-2026-10559Średnie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność umożliwiającą zdalne dołączanie plików. Nieznana funkcja w pliku /index.php nieprawidłowo waliduje argument page, co pozwala atakującemu na dołączenie dowolnego pliku. Exploit został opublikowany.
- CVE-2026-10558Średnie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność umożliwiającą zdalne dołączanie plików. Nieznana funkcja w pliku /admin/index.php nieprawidłowo waliduje argument page, co pozwala atakującemu na dołączenie dowolnego pliku. Exploit został opublikowany.
- CVE-2026-7410Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność w pliku /admin/ajax.php?action=add_to_cart. Manipulacja argumentem pid prowadzi do wstrzyknięcia SQL, a atak można zainicjować zdalnie. Exploit został ujawniony publicznie i może być wykorzystany.
- CVE-2026-7409Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność w funkcji save_user w pliku /admin/ajax.php?action=save_user. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7394Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność w pliku /admin/view_order.php polegającą na manipulacji argumentem ID prowadzącej do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-7393Średnie
W SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność w funkcji save_menu w pliku /admin/admin_class_novo.php (komponent File Extension Handler). Manipulacja argumentem img prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7297Niskie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność na atak XSS w pliku /admin/ajax.php?action=save_user poprzez manipulację argumentem Name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7296Niskie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 wykryto podatność na atak XSS w pliku /admin/ajax.php?action=save_order poprzez manipulację argumentem first_name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7295Niskie
W systemie SourceCodester Pizzafy Ecommerce System 1.0 stwierdzono podatność XSS w funkcji save_menu pliku /admin/ajax.php?action=save_menu poprzez manipulację argumentem Name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in SourceCodester Pizzafy Ecommerce System 1.0. This issue affects some unknown processing of the file /admin/index.php. Such manipulation of the argument page leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS