CVE-2025-63527
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W Blood Bank Management System 1.0 występuje podatność XSS w komponentach updateprofile.php i hprofile.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametrów hname, hemail, hpassword, hphone, hcity.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, przechwytując dane sesji lub wykonując działania w imieniu użytkownika.
Rekomendacja
Wdróż walidację i kodowanie danych wejściowych w updateprofile.php i hprofile.php oraz zaktualizuj aplikację do wersji z poprawką.
Inne podatności w Blood Bank Management System
Zobacz wszystkie- CVE-2025-63535Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie abs.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63532Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie cancel.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63531Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie receiverLogin.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polami remail i rpassword, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63525Krytyczne
W systemie Blood Bank Management System 1.0 odkryto problem umożliwiający uwierzytelnionym atakującym wykonywanie działań z podwyższonymi uprawnieniami poprzez spreparowane żądanie do delete.php.
- CVE-2026-111942Średnie
W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-63534Wysokie
W systemie Blood Bank Management System 1.0 w komponencie login.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów msg i error.
- CVE-2025-63533Wysokie
W systemie Blood Bank Management System 1.0 w komponentach updateprofile.php i rprofile.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów rname, remail, rpassword, rphone i rcity.
- CVE-2025-63529Średnie
W Blood Bank Management System 1.0 w pliku login.php występuje podatność na utrwalenie sesji (session fixation), która pozwala atakującemu ustawić lub przewidzieć identyfikator sesji użytkownika przed uwierzytelnieniem. Po zalogowaniu ofiary aplikacja nadal używa identyfikatora sesji dostarczonego przez atakującego, co umożliwia przejęcie uwierzytelnionej sesji i nieautoryzowany dostęp do konta ofiary.
- CVE-2025-63528Wysokie
W systemie Blood Bank Management System 1.0 w komponencie blooddinfo.php występuje podatność cross-site scripting (XSS). Aplikacja nie sanityzuje ani nie koduje danych wejściowych przed wyświetleniem, co pozwala na wstrzyknięcie złośliwego JavaScriptu przez parametr error. Skrypt jest wykonywany w przeglądarce ofiary po wyświetleniu strony.
- CVE-2025-63526Wysokie
W Blood Bank Management System występuje podatność XSS w komponencie abs.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametru msg.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability exists in the Blood Bank Management System 1.0 within the updateprofile.php and hprofile.php components. The application fails to properly sanitize or encode user-supplied input before rendering it in response. An attacker can inject malicious JavaScript payloads into the hname, hemail, hpassword, hphone, hcity parameters, which are then executed in the victim's browser when the page is viewed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS