CVE-2026-82625
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wykryto podatność na cross-site scripting (XSS) w code-projects Simple Inventory System 1.0. Podatność dotyczy nieznanej części pliku /register.php w komponencie User Registration. Manipulacja argumentem last_name prowadzi do XSS. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty.
Ocena ryzyka
Atak XSS może pozwolić na wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony. Ze względu na zdalny charakter ataku i publicznie dostępny exploit, ryzyko jest wysokie.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek lub walidację danych wejściowych w polu last_name. Należy również rozważyć użycie mechanizmów ochrony przed XSS, takich jak kodowanie wyjścia.
Inne podatności w Simple Inventory System
Zobacz wszystkie- CVE-2022-31340Krytyczne
Simple Inventory System v1.0 jest podatny na atak SQL Injection poprzez plik /inventory/table_edit_ajax.php. Niezabezpieczone parametry wejściowe umożliwiają wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-82624Średnie
Wykryto usterkę w code-projects Simple Inventory System 1.0. Problem dotyczy nieznanej funkcjonalności pliku inventorymanagement.sql w komponencie Database Backup File Handler. Manipulacja powoduje ujawnienie informacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.
- CVE-2026-79845Wysokie
Zidentyfikowano podatność w code-projects Simple Inventory System 1.0. Podatność dotyczy nieznanego kodu w pliku /InventoryManagement/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-76990Wysokie
W systemie code-projects Simple Inventory System 1.0 znaleziono podatność w pliku /delete.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany.
- CVE-2022-31339Wysokie
Simple Inventory System v1.0 jest podatny na atak SQL Injection przez /inventory/login.php. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in code-projects Simple Inventory System 1.0. This affects an unknown part of the file /register.php of the component User Registration. Such manipulation of the argument last_name leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.