CVE-2026-85187
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność na wstrzykiwanie SQL w funkcji Order::pupdate w pliku /rider/orders/controller.php?action=edit&actions=confirm. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
Ocena ryzyka
Atakujący zdalnie może manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia.
Rekomendacja
Zastosuj poprawki dostawcy lub użyj zapytań parametrycznych, aby zapobiec wstrzyknięciom SQL.
Inne podatności w itsourcecode Online Medicine Delivery System
Zobacz wszystkie- CVE-2026-85208Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 odkryto lukę bezpieczeństwa. Dotkniętym elementem jest funkcja doInsert w pliku /rider/orders/controller.php?action=add komponentu Order Management Controller. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak zdalny jest możliwy, a exploit został publicznie udostępniony.
- CVE-2026-85205Średnie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność na wstrzykiwanie SQL w funkcji addwishlist pliku /customer/controller.php?action=addwish. Manipulacja argumentem proid umożliwia zdalne wykonanie ataku.
- CVE-2026-82615Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Customer::find_phone pliku /passwordrecover.php, w interfejsie odzyskiwania hasła. Manipulacja argumentem phonenumber prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
- CVE-2026-82614Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=product, w interfejsie filtra kategorii produktów. Manipulacja argumentem Category prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-82613Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=product, w interfejsie wyszukiwania produktów. Manipulacja argumentem Search prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82612Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=single-item, w interfejsie strony szczegółów produktu. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-82611Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Customer::cusAuthentication pliku /login.php, w interfejsie logowania klienta. Manipulacja argumentem U_USERNAME prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-82610Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Employee::employeeAuthentication pliku /rider/login.php, w interfejsie logowania. Manipulacja argumentem emp_email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in itsourcecode Online Medicine Delivery System 1.0. Affected by this issue is the function Order::pupdate of the file /rider/orders/controller.php?action=edit&actions=confirm of the component Order Status Update. The manipulation of the argument ID leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS