CVE-2025-63526

Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie abs.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.

Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie cancel.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.

Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie receiverLogin.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polami remail i rpassword, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.

W systemie Blood Bank Management System 1.0 odkryto problem umożliwiający uwierzytelnionym atakującym wykonywanie działań z podwyższonymi uprawnieniami poprzez spreparowane żądanie do delete.php.

W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie Blood Bank Management System 1.0 w komponencie login.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów msg i error.

W systemie Blood Bank Management System 1.0 w komponentach updateprofile.php i rprofile.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów rname, remail, rpassword, rphone i rcity.

W Blood Bank Management System 1.0 w pliku login.php występuje podatność na utrwalenie sesji (session fixation), która pozwala atakującemu ustawić lub przewidzieć identyfikator sesji użytkownika przed uwierzytelnieniem. Po zalogowaniu ofiary aplikacja nadal używa identyfikatora sesji dostarczonego przez atakującego, co umożliwia przejęcie uwierzytelnionej sesji i nieautoryzowany dostęp do konta ofiary.

W systemie Blood Bank Management System 1.0 w komponencie blooddinfo.php występuje podatność cross-site scripting (XSS). Aplikacja nie sanityzuje ani nie koduje danych wejściowych przed wyświetleniem, co pozwala na wstrzyknięcie złośliwego JavaScriptu przez parametr error. Skrypt jest wykonywany w przeglądarce ofiary po wyświetleniu strony.

W Blood Bank Management System 1.0 występuje podatność XSS w komponentach updateprofile.php i hprofile.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametrów hname, hemail, hpassword, hphone, hcity.