CVE-2026-87921
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f zidentyfikowano podatność. Dotyczy ona funkcji update_record w pliku includes/manage.php. Manipulacja argumentami update_category/cid/update_brand/update_product prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
Ocena ryzyka
Ryzyko obejmuje zdalne wstrzyknięcie SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, wycieku danych, modyfikacji lub usunięcia danych oraz potencjalnie do pełnej kompromitacji systemu.
Rekomendacja
Ponieważ projekt nie odpowiedział na zgłoszenie, należy rozważyć zastosowanie tymczasowych środków łagodzących, takich jak walidacja danych wejściowych, ograniczenie dostępu do systemu oraz monitorowanie publicznych exploitów.
Inne podatności w inventory-management-system
Zobacz wszystkie- CVE-2026-90599Średnie
W Rizwan17 inventory-management-system do wersji 5e74a46b4b70623d0e4a0c9c4aee3bd1777185d2 wykryto lukę w nieznanej funkcji pliku includes/process.php. Manipulacja może prowadzić do podatności cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być użyty.
- CVE-2026-90566Wysokie
W systemie inventory-management-system (Rizwan17) wykryto słabość w funkcji createUserAccount w pliku register.php. Manipulacja argumentem usertype pozwala na obejście kontroli uprawnień, co umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-90565Średnie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność polegającą na manipulacji argumentem userid w pliku dashboard.php, co prowadzi do nieprawidłowej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-87926Średnie
Wykryto podatność typu cross-site scripting (XSS) w systemie inventory-management-system (projekt Rizwan17) w pliku index.php komponentu strony logowania. Manipulacja argumentem msg pozwala na wstrzyknięcie złośliwego skryptu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-87925Wysokie
Wykryto podatność w systemie inventory-management-system (Rizwan17) w funkcji storeCustomerOrderInvoice w pliku includes/manage.php. Manipulacja argumentem pro_name[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-87924Średnie
Podatność w Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f dotyczy pliku includes/invoice_bill.php w komponencie Invoice Generation, gdzie manipulacja argumentami order_date/invoice_no prowadzi do braku autoryzacji, umożliwiając zdalny atak.
- CVE-2026-87923Średnie
W systemie inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność XSS w pliku includes/DBOperation.php komponentu List Handler. Manipulacja argumentami category_name/brand_name/product_name umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-87922Wysokie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji DBOperation.addCategory w pliku includes/process.php komponentu AJAX Backend. Manipulacja argumentem userid prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.
- CVE-2025-13210Średnie
W systemie itsourcecode Inventory Management System 1.0 wykryto podatność typu SQL injection w pliku /admin/products/index.php?view=add, wynikającą z manipulacji argumentem PROMODEL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Rizwan17 inventory-management-system up to bfe78a330d01bb26b9daec5dc9ecd5c77900e03f. Affected is the function update_record of the file includes/manage.php. The manipulation of the argument update_category/cid/update_brand/update_product leads to sql injection. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS