CVE-2026-86673
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W systemie zarządzania studentami ningzichun (do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf) wykryto podatność w funkcji mysqli_connect pliku config/database.php komponentu Database Connection. Manipulacja powoduje użycie twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Produkt używa modelu ciągłych aktualizacji, więc brak konkretnych informacji o wersjach. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Ryzyko zdalnego nieautoryzowanego dostępu do bazy danych z powodu twardo zakodowanych poświadczeń, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową zmianę twardo zakodowanych poświadczeń, wdrożenie mechanizmów uwierzytelniania oraz kontakt z producentem w celu uzyskania poprawki.
Inne podatności w Student Management System
Zobacz wszystkie- CVE-2026-97650Średnie
Podatność cross-site scripting (XSS) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Funkcja echo w pliku admin/fun/addLog.php nie neutralizuje argumentów reason/detail, co pozwala na wstrzyknięcie skryptu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97649Średnie
Podatność w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcjonalności pliku example_lite.sql. Manipulacja może prowadzić do użycia domyślnych poświadczeń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97648Średnie
Podatność cross-site request forgery (CSRF) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97647Średnie
Podatność polegająca na obejściu autoryzacji w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Manipulacja argumentami sid/addtime/type/reason/detail/logdate w pliku user/editLog.php prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97646Wysokie
W systemie ningzichun student-management-system do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf wykryto słabość w nieznanej funkcji pliku admin/fun/getStudent.php. Manipulacja argumentem sid powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86674Średnie
Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy funkcji session_start w pliku login.php. Manipulacja prowadzi do fiksacji sesji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt nie używa wersjonowania, więc brak informacji o wersjach dotkniętych i poprawionych.
- CVE-2026-86672Średnie
Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy nieznanej funkcji w pliku example.7z komponentu Backup Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt używa ciągłego dostarczania z wydaniami kroczącymi, więc brak szczegółów wersji.
- CVE-2026-82699Niskie
W systemie sambitraj Student Management System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto wadę w komponencie Password Handler w pliku aca.sql. Manipulacja argumentem Password prowadzi do przechowywania danych wrażliwych w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie.
- CVE-2026-82698Średnie
W systemie Student-Management-System od sambitraj (do wersji 56ba287f) wykryto użycie domyślnego hasła w pliku aca.sql. Atak zdalny jest możliwy, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-82697Niskie
W systemie sambitraj Student-Management-System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto podatność w funkcji session_start, która prowadzi do tworzenia ciasteczek bez flagi 'httponly'. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in ningzichun Student Management System up to 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Affected by this issue is the function mysqli_connect of the file config/database.php of the component Database Connection. This manipulation causes hard-coded credentials. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS