CVE-2025-12610
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W CodeAstro Gym Management System 1.0 wykryto podatność w nieznanej części pliku /admin/view-progress-report.php. Manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne zapytania SQL, co może skutkować wyciekiem lub modyfikacją danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy niezwłocznie zaktualizować aplikację do wersji z poprawką lub wdrożyć walidację danych wejściowych. Zaleca się również ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Gym Management System
Zobacz wszystkie- CVE-2025-67146Krytyczne
Wiele podatności SQL Injection w GYM-MANAGEMENT-SYSTEM 1.0 od AbhishekMali21, występujących w parametrach 'name' i 'id' w różnych skryptach. Nieuwierzytelniony atakujący może wstrzykiwać złośliwe polecenia SQL, prowadząc do nieautoryzowanego dostępu do danych, ominięcia uwierzytelniania lub modyfikacji bazy danych.
- CVE-2025-12242Średnie
W systemie Gym Management System 1.0 firmy CodeAstro wykryto podatność SQL injection w pliku /admin/actions/check-attendance.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-11592Średnie
W systemie Gym Management System 1.0 odkryto podatność SQL injection w pliku /admin/edit-equipmentform.php. Manipulacja argumentem ID umożliwia zdalne wstrzyknięcie SQL. Exploit jest publiczny.
- CVE-2025-11589Średnie
W systemie Gym Management System 1.0 odkryto podatność SQL injection w pliku /admin/user-payment.php. Manipulacja argumentem plan umożliwia zdalne wstrzyknięcie SQL. Exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in CodeAstro Gym Management System 1.0. This affects an unknown part of the file /admin/view-progress-report.php. Executing a manipulation of the argument ID can lead to sql injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS