CVE-2025-11426
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność w pliku /edit_book.php. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików, co może umożliwić zdalne wykonanie kodu. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki, co może prowadzić do zdalnego wykonania kodu na serwerze, a tym samym do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację systemu lub zastosowanie poprawek, a także wprowadzenie ograniczeń dotyczących typów przesyłanych plików i ich walidację.
Inne podatności w projectworlds Advanced Library Management System
Zobacz wszystkie- CVE-2026-114266Średnie
W ProjectWorlds Advanced Library Management System 1.0 wykryto podatność bezpieczeństwa w funkcji mysqli_query w pliku profile.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-114265Średnie
W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku returned_book_search.php (komponent formularza wyszukiwania) nie zabezpiecza argumentów datefrom/dateto, co umożliwia wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystany do ataków.
- CVE-2026-114264Średnie
W ProjectWorlds Advanced Library Management System 1.0 w pliku edit_member.php manipulacja argumentami firstname/middlename/lastname/address/branch/type prowadzi do wstrzyknięcia SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in projectworlds Advanced Library Management System 1.0. Affected by this vulnerability is an unknown functionality of the file /edit_book.php. The manipulation of the argument image results in unrestricted upload. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS