CVE-2026-9447
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w pliku /user/search.php systemu SourceCodester Simple POS and Inventory System 1.0. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Atak zdalny, exploit publiczny.
Ocena ryzyka
Ryzyko zdalnego wstrzyknięcia SQL, co może prowadzić do wycieku danych i naruszenia integralności bazy danych.
Rekomendacja
Należy natychmiast zastosować parametryzację zapytań SQL dla argumentu Name w pliku /user/search.php.
Inne podatności w SourceCodester Simple POS and Inventory System
Zobacz wszystkie- CVE-2026-9446Średnie
W systemie SourceCodester Simple POS and Inventory System 1.0 znaleziono podatność na iniekcję SQL w nieznanej funkcji pliku /admin/edit_customer.php poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9445Średnie
W systemie SourceCodester Simple POS and Inventory System 1.0 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem występuje w pliku /admin/addproduct.php, gdzie argument image nie jest odpowiednio walidowany. Atakujący może zdalnie przesłać złośliwy plik, co może prowadzić do przejęcia kontroli nad systemem.
- CVE-2026-9444Średnie
W systemie SourceCodester Simple POS and Inventory System 1.0 wykryto podatność na iniekcję SQL w funkcji delete pliku /admin/deleteproduct.php, w komponencie GET Parameter Handler, poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in SourceCodester Simple POS and Inventory System 1.0. The impacted element is an unknown function of the file /user/search.php. Performing a manipulation of the argument Name results in sql injection. The attack is possible to be carried out remotely. The exploit has been made public and could be used.