CVE-2025-12612
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Campcodes School Fees Payment Management System 1.0 wykryto podatność SQL Injection w pliku /ajax.php?action=delete_course poprzez manipulację argumentem ID. Atak można przeprowadzić zdalnie, a publiczny exploit jest dostępny.
Ocena ryzyka
Zdalny atakujący może wykonywać dowolne zapytania SQL, co grozi wyciekiem lub modyfikacją danych oraz przejęciem kontroli nad aplikacją.
Rekomendacja
Jak najszybciej zaktualizuj lub wycofaj podatną wersję, a do czasu poprawki wdróż walidację parametrów i reguły WAF blokujące próby SQL Injection.
Inne podatności w Campcodes School Fees Payment Management System
Zobacz wszystkie- CVE-2025-13273Średnie
W systemie Campcodes School Fees Payment Management System 1.0 odkryto podatność SQL injection w pliku /ajax.php?action=delete_payment. Manipulacja argumentem ID umożliwia zdalne wykonanie wstrzyknięcia SQL. Exploit został opublikowany i może być wykorzystany w atakach.
- CVE-2025-13270Średnie
W systemie Campcodes School Fees Payment Management System 1.0 odkryto podatność SQL injection w pliku /ajax.php?action=save_course. Manipulacja argumentem ID umożliwia zdalne wstrzyknięcie SQL. Exploit został upubliczniony i może być wykorzystany.
- CVE-2025-13269Średnie
W systemie Campcodes School Fees Payment Management System 1.0 odkryto podatność SQL injection w pliku /ajax.php?action=save_payment. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony.
- CVE-2025-13057Średnie
W Campcodes School Fees Payment Management System 1.0 zidentyfikowano podatność w nieznanej funkcji pliku /ajax.php?action=save_student. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Campcodes School Fees Payment Management System 1.0. This issue affects some unknown processing of the file /ajax.php?action=delete_course. The manipulation of the argument ID results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS