CVE-2026-85205
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność na wstrzykiwanie SQL w funkcji addwishlist pliku /customer/controller.php?action=addwish. Manipulacja argumentem proid umożliwia zdalne wykonanie ataku.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, w tym do danych klientów, zamówień i innych poufnych informacji, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zastosuj parametryzowane zapytania lub odpowiednie mechanizmy sanityzacji danych wejściowych w funkcji addwishlist, a także zaktualizuj system do najnowszej wersji.
Inne podatności w itsourcecode Online Medicine Delivery System
Zobacz wszystkie- CVE-2026-85208Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 odkryto lukę bezpieczeństwa. Dotkniętym elementem jest funkcja doInsert w pliku /rider/orders/controller.php?action=add komponentu Order Management Controller. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak zdalny jest możliwy, a exploit został publicznie udostępniony.
- CVE-2026-85187Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność na wstrzykiwanie SQL w funkcji Order::pupdate w pliku /rider/orders/controller.php?action=edit&actions=confirm. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
- CVE-2026-82615Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Customer::find_phone pliku /passwordrecover.php, w interfejsie odzyskiwania hasła. Manipulacja argumentem phonenumber prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
- CVE-2026-82614Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=product, w interfejsie filtra kategorii produktów. Manipulacja argumentem Category prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-82613Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=product, w interfejsie wyszukiwania produktów. Manipulacja argumentem Search prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82612Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=single-item, w interfejsie strony szczegółów produktu. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-82611Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Customer::cusAuthentication pliku /login.php, w interfejsie logowania klienta. Manipulacja argumentem U_USERNAME prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-82610Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Employee::employeeAuthentication pliku /rider/login.php, w interfejsie logowania. Manipulacja argumentem emp_email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in itsourcecode Online Medicine Delivery System 1.0. This issue affects the function addwishlist of the file /customer/controller.php?action=addwish of the component Wishlist. This manipulation of the argument proid causes sql injection. The attack may be initiated remotely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS