CVE-2025-63529
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Blood Bank Management System 1.0 w pliku login.php występuje podatność na utrwalenie sesji (session fixation), która pozwala atakującemu ustawić lub przewidzieć identyfikator sesji użytkownika przed uwierzytelnieniem. Po zalogowaniu ofiary aplikacja nadal używa identyfikatora sesji dostarczonego przez atakującego, co umożliwia przejęcie uwierzytelnionej sesji i nieautoryzowany dostęp do konta ofiary.
Ocena ryzyka
Atakujący może przejąć sesję uwierzytelnionego użytkownika i uzyskać dostęp do jego konta, co może prowadzić do wycieku danych lub nieautoryzowanych działań. Ryzyko dotyczy systemów zarządzania bankiem krwi wykorzystujących tę aplikację.
Rekomendacja
Wdróż mechanizm generowania nowego identyfikatora sesji po pomyślnym uwierzytelnieniu oraz unieważniania starych sesji. Zaktualizuj aplikację do wersji zawierającej poprawkę, jeśli jest dostępna.
Inne podatności w Blood Bank Management System
Zobacz wszystkie- CVE-2025-63535Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie abs.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63532Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie cancel.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63531Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie receiverLogin.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polami remail i rpassword, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63525Krytyczne
W systemie Blood Bank Management System 1.0 odkryto problem umożliwiający uwierzytelnionym atakującym wykonywanie działań z podwyższonymi uprawnieniami poprzez spreparowane żądanie do delete.php.
- CVE-2026-111942Średnie
W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-63534Wysokie
W systemie Blood Bank Management System 1.0 w komponencie login.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów msg i error.
- CVE-2025-63533Wysokie
W systemie Blood Bank Management System 1.0 w komponentach updateprofile.php i rprofile.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów rname, remail, rpassword, rphone i rcity.
- CVE-2025-63528Wysokie
W systemie Blood Bank Management System 1.0 w komponencie blooddinfo.php występuje podatność cross-site scripting (XSS). Aplikacja nie sanityzuje ani nie koduje danych wejściowych przed wyświetleniem, co pozwala na wstrzyknięcie złośliwego JavaScriptu przez parametr error. Skrypt jest wykonywany w przeglądarce ofiary po wyświetleniu strony.
- CVE-2025-63527Wysokie
W Blood Bank Management System 1.0 występuje podatność XSS w komponentach updateprofile.php i hprofile.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametrów hname, hemail, hpassword, hphone, hcity.
- CVE-2025-63526Wysokie
W Blood Bank Management System występuje podatność XSS w komponencie abs.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametru msg.
Oryginalny opis (angielski, źródło NVD)
A session fixation vulnerability exists in Blood Bank Management System 1.0 in login.php that allows an attacker to set or predict a user's session identifier prior to authentication. When the victim logs in, the application continues to use the attacker-supplied session ID rather than generating a new one, enabling the attacker to hijack the authenticated session and gain unauthorized access to the victim's account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS