CVE-2026-87922
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji DBOperation.addCategory w pliku includes/process.php komponentu AJAX Backend. Manipulacja argumentem userid prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do funkcji dodawania kategorii, co może prowadzić do nieautoryzowanych zmian w systemie, naruszenia integralności danych lub dalszej kompromitacji.
Rekomendacja
Ponieważ projekt nie odpowiedział na zgłoszenie, należy rozważyć zastosowanie tymczasowych środków łagodzących, takich jak ograniczenie dostępu do systemu lub wdrożenie dodatkowych mechanizmów uwierzytelniania, oraz monitorowanie publicznych exploitów.
Inne podatności w inventory-management-system
Zobacz wszystkie- CVE-2026-90599Średnie
W Rizwan17 inventory-management-system do wersji 5e74a46b4b70623d0e4a0c9c4aee3bd1777185d2 wykryto lukę w nieznanej funkcji pliku includes/process.php. Manipulacja może prowadzić do podatności cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być użyty.
- CVE-2026-90566Wysokie
W systemie inventory-management-system (Rizwan17) wykryto słabość w funkcji createUserAccount w pliku register.php. Manipulacja argumentem usertype pozwala na obejście kontroli uprawnień, co umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-90565Średnie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność polegającą na manipulacji argumentem userid w pliku dashboard.php, co prowadzi do nieprawidłowej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-87926Średnie
Wykryto podatność typu cross-site scripting (XSS) w systemie inventory-management-system (projekt Rizwan17) w pliku index.php komponentu strony logowania. Manipulacja argumentem msg pozwala na wstrzyknięcie złośliwego skryptu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-87925Wysokie
Wykryto podatność w systemie inventory-management-system (Rizwan17) w funkcji storeCustomerOrderInvoice w pliku includes/manage.php. Manipulacja argumentem pro_name[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-87924Średnie
Podatność w Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f dotyczy pliku includes/invoice_bill.php w komponencie Invoice Generation, gdzie manipulacja argumentami order_date/invoice_no prowadzi do braku autoryzacji, umożliwiając zdalny atak.
- CVE-2026-87923Średnie
W systemie inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność XSS w pliku includes/DBOperation.php komponentu List Handler. Manipulacja argumentami category_name/brand_name/product_name umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-87921Wysokie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f zidentyfikowano podatność. Dotyczy ona funkcji update_record w pliku includes/manage.php. Manipulacja argumentami update_category/cid/update_brand/update_product prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2025-13210Średnie
W systemie itsourcecode Inventory Management System 1.0 wykryto podatność typu SQL injection w pliku /admin/products/index.php?view=add, wynikającą z manipulacji argumentem PROMODEL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Rizwan17 inventory-management-system up to bfe78a330d01bb26b9daec5dc9ecd5c77900e03f. Affected by this vulnerability is the function DBOperation.addCategory of the file includes/process.php of the component AJAX Backend. The manipulation of the argument userid results in missing authentication. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks. This product utilizes a rolling release system for continuous delivery, and as such, version information for affected or updated releases is not disclosed. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS