CVE-2026-9414
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Indian Invoicing System do wersji 1.0 w pliku /Invoicing/add_order.php w komponencie Invoice Template Render Database-Backed występuje podatność na atak XSS poprzez manipulację argumentem customer_name. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, deface'u lub kradzieży danych.
Rekomendacja
Należy zaktualizować system do najnowszej wersji, która zawiera poprawkę usuwającą podatność XSS, lub ręcznie oczyścić dane wejściowe w pliku add_order.php.
Inne podatności w SourceCodester Indian Invoicing System
Zobacz wszystkie- CVE-2026-9413Średnie
W systemie SourceCodester Indian Invoicing 1.0 znaleziono podatność na atak XSS w pliku /Invoicing/category.php. Manipulacja argumentem msg umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit jest publicznie dostępny.
- CVE-2026-9411Średnie
W SourceCodester Indian Invoicing System 1.0 wykryto podatność na SQL Injection w pliku /Invoicing/IGST_Invoice.php w komponencie Invoice Generation Handler. Manipulacja argumentami customer_name/category prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in SourceCodester Indian Invoicing System up to 0.x/1.0. The impacted element is an unknown function of the file /Invoicing/add_order.php of the component Invoice Template Render Database-Backed. The manipulation of the argument customer_name results in cross site scripting. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS