CVE-2026-87924
ŚrednieCVSS 6.5Streszczenie
Podatność w Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f dotyczy pliku includes/invoice_bill.php w komponencie Invoice Generation, gdzie manipulacja argumentami order_date/invoice_no prowadzi do braku autoryzacji, umożliwiając zdalny atak.
Ocena ryzyka
Atakujący może wykorzystać brak autoryzacji do generowania faktur bez uprawnień, co może prowadzić do nieautoryzowanych operacji w systemie.
Rekomendacja
Projekt nie odpowiedział na zgłoszenie; rozważ zastosowanie tymczasowych środków ochrony, takich jak ograniczenie dostępu do pliku, oraz monitorowanie publicznych exploitów.
Inne podatności w inventory-management-system
Zobacz wszystkie- CVE-2026-87923Średnie
W systemie inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność XSS w pliku includes/DBOperation.php komponentu List Handler. Manipulacja argumentami category_name/brand_name/product_name umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-87922Wysokie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji DBOperation.addCategory w pliku includes/process.php komponentu AJAX Backend. Manipulacja argumentem userid prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.
- CVE-2026-87921Wysokie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f zidentyfikowano podatność. Dotyczy ona funkcji update_record w pliku includes/manage.php. Manipulacja argumentami update_category/cid/update_brand/update_product prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Rizwan17 inventory-management-system up to bfe78a330d01bb26b9daec5dc9ecd5c77900e03f. This affects an unknown part of the file includes/invoice_bill.php of the component Invoice Generation. Such manipulation of the argument order_date/invoice_no leads to missing authentication. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.