CVE-2026-90566
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W systemie inventory-management-system (Rizwan17) wykryto słabość w funkcji createUserAccount w pliku register.php. Manipulacja argumentem usertype pozwala na obejście kontroli uprawnień, co umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie zarejestrować konto z nieodpowiednimi uprawnieniami, co prowadzi do eskalacji uprawnień i nieautoryzowanego dostępu do systemu. Brak odpowiedzi ze strony projektu zwiększa ryzyko.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub obejść ograniczających rejestrację, a także monitorowanie nietypowych rejestracji kont. Należy rozważyć kontakt z maintainerem w celu uzyskania aktualizacji.
Inne podatności w inventory-management-system
Zobacz wszystkie- CVE-2026-90599Średnie
W Rizwan17 inventory-management-system do wersji 5e74a46b4b70623d0e4a0c9c4aee3bd1777185d2 wykryto lukę w nieznanej funkcji pliku includes/process.php. Manipulacja może prowadzić do podatności cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być użyty.
- CVE-2026-90565Średnie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność polegającą na manipulacji argumentem userid w pliku dashboard.php, co prowadzi do nieprawidłowej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-87926Średnie
Wykryto podatność typu cross-site scripting (XSS) w systemie inventory-management-system (projekt Rizwan17) w pliku index.php komponentu strony logowania. Manipulacja argumentem msg pozwala na wstrzyknięcie złośliwego skryptu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-87925Wysokie
Wykryto podatność w systemie inventory-management-system (Rizwan17) w funkcji storeCustomerOrderInvoice w pliku includes/manage.php. Manipulacja argumentem pro_name[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-87924Średnie
Podatność w Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f dotyczy pliku includes/invoice_bill.php w komponencie Invoice Generation, gdzie manipulacja argumentami order_date/invoice_no prowadzi do braku autoryzacji, umożliwiając zdalny atak.
- CVE-2026-87923Średnie
W systemie inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f wykryto podatność XSS w pliku includes/DBOperation.php komponentu List Handler. Manipulacja argumentami category_name/brand_name/product_name umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-87922Wysokie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji DBOperation.addCategory w pliku includes/process.php komponentu AJAX Backend. Manipulacja argumentem userid prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.
- CVE-2026-87921Wysokie
W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f zidentyfikowano podatność. Dotyczy ona funkcji update_record w pliku includes/manage.php. Manipulacja argumentami update_category/cid/update_brand/update_product prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Rizwan17 inventory-management-system up to bfe78a330d01bb26b9daec5dc9ecd5c77900e03f. Affected by this vulnerability is the function createUserAccount of the file register.php of the component Registration Handler. Executing a manipulation of the argument usertype can lead to improper authorization. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS