CVE-2025-13396
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W code-projects Courier Management System 1.0 wykryto podatność SQL injection w pliku /add-office.php. Manipulacja argumentem OfficeName pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony.
Ocena ryzyka
Zdalny atakujący może wykonywać nieautoryzowane zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Wdrożyć poprawkę lub tymczasowo ograniczyć dostęp do /add-office.php. Zastosować parametryzację zapytań SQL i walidację danych wejściowych oraz monitorować logi aplikacji.
Inne podatności w Courier Management System
Zobacz wszystkie- CVE-2026-16229Średnie
W systemie Courier Management System do wersji 1.0 znaleziono lukę w pliku /index.php. Manipulacja parametrem page prowadzi do podatności na cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-9607Średnie
W itsourcecode Courier Management System 1.0, nieznana funkcja w pliku /parcel_list.php jest podatna na SQL Injection poprzez manipulację argumentem s. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-9606Wysokie
Podatność w itsourcecode Courier Management System 1.0. Nieznana funkcja w pliku /manage_user.php pozwala na wstrzyknięcie SQL przez argument ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7822Średnie
W itsourcecode Courier Management System 1.0 zidentyfikowano podatność w nieznanej funkcji pliku /print_pdets.php. Manipulacja argumentem ids prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13303Średnie
W systemie Courier Management System 1.0 wykryto podatność w pliku /search-edit.php polegającą na manipulacji argumentem Consignment prowadzącą do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13302Średnie
W systemie Courier Management System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add-new-officer.php. Manipulacja argumentem ManagerName umożliwia atak zdalny. Exploit jest publicznie dostępny.
- CVE-2025-11553Średnie
Wykryto słabość w code-projects Courier Management System 1.0. Podatność dotyczy nieznanej funkcjonalności pliku /add-courier.php. Wykonanie manipulacji argumentem Shippername może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in code-projects Courier Management System 1.0. This affects an unknown function of the file /add-office.php. This manipulation of the argument OfficeName causes sql injection. The attack may be initiated remotely. The exploit has been made available to the public and could be exploited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS