CVE-2025-13255
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W systemie Advanced Library Management System 1.0 od projectworlds znaleziono podatność w pliku /book_search.php, gdzie manipulacja argumentami book_pub/book_title prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Wstrzyknięcie SQL może pozwolić atakującemu na nieautoryzowany dostęp do bazy danych, co może prowadzić do ujawnienia, modyfikacji lub usunięcia danych bibliotecznych.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub ograniczenie dostępu do /book_search.php oraz stosowanie sparametryzowanych zapytań.
Inne podatności w Advanced Library Management System
Zobacz wszystkie- CVE-2026-114039Średnie
W systemie Advanced Library Management System 1.0 (projekt projectworlds) wykryto podatność SQL injection w funkcji mysqli_query w pliku report_search.php. Manipulacja argumentami dateto/datefrom pozwala na wstrzyknięcie zapytań SQL.
- CVE-2026-114263Wysokie
W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku individual_report_search.php jest podatna na SQL injection poprzez manipulację argumentem roll_number. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13278Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku /borrowed_book_search.php poprzez manipulację argumentami datefrom/dateto. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13256Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku /borrow.php poprzez manipulację argumentem roll_number. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13254Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność typu SQL injection w pliku /add_member.php, polegającą na manipulacji argumentem roll_number. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może zostać wykorzystany.
- CVE-2025-13253Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność typu SQL injection w pliku /add_librarian.php, wynikającą z manipulacji argumentem Username. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11425Niskie
W systemie Advanced Library Management System 1.0 firmy projectworlds odkryto podatność typu cross-site scripting (XSS) w nieznanej funkcji pliku /edit_admin.php. Manipulacja argumentem firstname umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in projectworlds Advanced Library Management System 1.0. This issue affects some unknown processing of the file /book_search.php. Performing a manipulation of the argument book_pub/book_title results in sql injection. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS