CVE-2026-85208
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie itsourcecode Online Medicine Delivery System 1.0 odkryto lukę bezpieczeństwa. Dotkniętym elementem jest funkcja doInsert w pliku /rider/orders/controller.php?action=add komponentu Order Management Controller. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak zdalny jest możliwy, a exploit został publicznie udostępniony.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania złośliwego kodu lub przejęcia kontroli nad serwerem poprzez przesłanie niebezpiecznych plików, co może prowadzić do naruszenia integralności systemu i danych.
Rekomendacja
Zaleca się natychmiastowe wdrożenie walidacji typów plików i ograniczenie dozwolonych rozszerzeń, a także zastosowanie mechanizmów uwierzytelniania i autoryzacji dla funkcji przesyłania plików.
Inne podatności w itsourcecode Online Medicine Delivery System
Zobacz wszystkie- CVE-2026-85205Średnie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność na wstrzykiwanie SQL w funkcji addwishlist pliku /customer/controller.php?action=addwish. Manipulacja argumentem proid umożliwia zdalne wykonanie ataku.
- CVE-2026-85187Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność na wstrzykiwanie SQL w funkcji Order::pupdate w pliku /rider/orders/controller.php?action=edit&actions=confirm. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
- CVE-2026-82615Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Customer::find_phone pliku /passwordrecover.php, w interfejsie odzyskiwania hasła. Manipulacja argumentem phonenumber prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
- CVE-2026-82614Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=product, w interfejsie filtra kategorii produktów. Manipulacja argumentem Category prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-82613Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=product, w interfejsie wyszukiwania produktów. Manipulacja argumentem Search prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82612Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji loadResultList pliku /index.php?q=single-item, w interfejsie strony szczegółów produktu. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-82611Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Customer::cusAuthentication pliku /login.php, w interfejsie logowania klienta. Manipulacja argumentem U_USERNAME prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-82610Wysokie
W systemie itsourcecode Online Medicine Delivery System 1.0 wykryto podatność SQL injection w funkcji Employee::employeeAuthentication pliku /rider/login.php, w interfejsie logowania. Manipulacja argumentem emp_email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in itsourcecode Online Medicine Delivery System 1.0. The affected element is the function doInsert of the file /rider/orders/controller.php?action=add of the component Order Management Controller. Performing a manipulation of the argument image results in unrestricted upload. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS