CVE-2025-40690
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w Online Fire Reporting System v1.2 firmy PHPGurukul. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie baz danych przez parametr 'teamid' w punkcie końcowym '/ofrs/admin/edit-team.php'.
Ocena ryzyka
Atakujący może manipulować bazą danych systemu, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się zastosowanie poprawek lub ograniczenie dostępu do podatnego punktu końcowego oraz stosowanie sparametryzowanych zapytań.
Inne podatności w Online Fire Reporting System
Zobacz wszystkie- CVE-2025-40693Średnie
System Online Fire Reporting System v1.2 od PHPGurukul zawiera podatność na Stored XSS w punkcie końcowym '/ofrs/admin/edit-team.php'. Brak walidacji parametrów 'tname' (GET) oraz 'teamleadname', 'teammember' i 'teamname' (POST) umożliwia atakującemu wstrzyknięcie złośliwego skryptu, który może zostać zapisany i wykonany u uwierzytelnionego użytkownika.
- CVE-2022-34611Średnie
W systemie Online Fire Reporting System v1.0 wykryto podatność na atak XSS w skrypcie /index.php/?p=report. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML przez pole tekstowe "Contac #".
Oryginalny opis (angielski, źródło NVD)
SQL Injection in Online Fire Reporting System v1.2 by PHPGurukul. This vulnerability allows an attacker to retrieve, create, update and delete database via 'teamid' parameter in the endpoint '/ofrs/admin/edit-team.php'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS