CVE-2026-9445
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie SourceCodester Simple POS and Inventory System 1.0 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem występuje w pliku /admin/addproduct.php, gdzie argument image nie jest odpowiednio walidowany. Atakujący może zdalnie przesłać złośliwy plik, co może prowadzić do przejęcia kontroli nad systemem.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu, przejęcia serwera oraz kradzieży lub modyfikacji danych. Opublikowany exploit zwiększa prawdopodobieństwo ataku.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo wdrożyć walidację typów plików oraz ograniczyć uprawnienia do katalogu uploadów.
Inne podatności w SourceCodester Simple POS and Inventory System
Zobacz wszystkie- CVE-2026-9447Wysokie
Podatność SQL Injection w pliku /user/search.php systemu SourceCodester Simple POS and Inventory System 1.0. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Atak zdalny, exploit publiczny.
- CVE-2026-9446Średnie
W systemie SourceCodester Simple POS and Inventory System 1.0 znaleziono podatność na iniekcję SQL w nieznanej funkcji pliku /admin/edit_customer.php poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9444Średnie
W systemie SourceCodester Simple POS and Inventory System 1.0 wykryto podatność na iniekcję SQL w funkcji delete pliku /admin/deleteproduct.php, w komponencie GET Parameter Handler, poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in SourceCodester Simple POS and Inventory System 1.0. Impacted is an unknown function of the file /admin/addproduct.php of the component File Extension Handler. This manipulation of the argument image causes unrestricted upload. Remote exploitation of the attack is possible. The exploit has been published and may be used.