CVE-2026-82922

WysokieCVSS 7.3

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W ShopEx ECShop do wersji 2.5.1 wykryto podatność SQL injection w funkcji flow_update_cart pliku /flow.php?step=update_cart. Manipulacja argumentem rec_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Ocena ryzyka

Atakujący może manipulować bazą danych, co może prowadzić do kradzieży danych, modyfikacji danych lub przejęcia konta administratora.

Rekomendacja

Zaktualizuj ECShop do najnowszej wersji, jeśli dostępna. Zastosuj parametryzowane zapytania i ogranicz dostęp do pliku flow.php.

Inne podatności w ShopEx ECShop

CVE-2026-82921Wysokie
W ShopEx ECShop do wersji 2.5.1 wykryto podatność w funkcji check_img_type pliku admin/pack.php. Manipulacja argumentem pack_img prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in ShopEx ECShop up to 2.5.1. This vulnerability affects the function flow_update_cart of the file /flow.php?step=update_cart. The manipulation of the argument rec_id leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS