CVE-2026-85643
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wada w code-projects Online Shopping System 1.0 dotyczy funkcji mysqli_query w pliku admin/adduser.php. Manipulacja argumentem mobile może prowadzić do wstrzyknięcia SQL. Atak może być wykonany zdalnie. Exploit został opublikowany i może być użyty.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, w tym odczytu, modyfikacji lub usunięcia danych, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastową walidację i sanityzację danych wejściowych oraz zastosowanie zapytań parametryzowanych, a także aktualizację systemu, jeśli dostępna.
Inne podatności w Online Shopping System
Zobacz wszystkie- CVE-2026-82700Średnie
W systemie Online Shopping System 1.0 od code-projects wykryto podatność na cross-site scripting (XSS) w pliku /offersmail.php w komponencie Newsletter Subscription. Manipulacja argumentem email umożliwia zdalne wykonanie skryptów w przeglądarce ofiary. Exploit jest publiczny.
- CVE-2026-79793Średnie
W systemie Online Shopping System 1.0 od code-projects znaleziono podatność na cross-site scripting (XSS) w pliku /admin/sumit_form.php. Manipulacja argumentem Success prowadzi do XSS. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-19998Średnie
W systemie Online Shopping System 1.0 od code-projects wykryto podatność XSS w pliku offersmail.php. Manipulacja argumentem email prowadzi do cross-site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-19919Wysokie
Wykryto podatność na iniekcję SQL w systemie Online Shopping System 1.0 od code-projects. Dotyczy ona nieznanej funkcji w pliku /login.php w komponencie Login. Manipulacja argumentem email prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in code-projects Online Shopping System 1.0. Impacted is the function mysqli_query of the file admin/adduser.php. Executing a manipulation of the argument mobile can lead to sql injection. The attack may be performed from remote. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS