CVE-2025-63534
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W systemie Blood Bank Management System 1.0 w komponencie login.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów msg i error.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych logowania. Ryzyko dotyczy użytkowników odwiedzających stronę logowania.
Rekomendacja
Zaktualizuj aplikację do wersji, która poprawnie sanitizuje dane wejściowe, lub wdroż walidację i kodowanie danych wyjściowych w login.php. Rozważ wdrożenie nagłówka Content-Security-Policy.
Inne podatności w Blood Bank Management System
Zobacz wszystkie- CVE-2025-63535Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie abs.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63532Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie cancel.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63531Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie receiverLogin.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polami remail i rpassword, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63525Krytyczne
W systemie Blood Bank Management System 1.0 odkryto problem umożliwiający uwierzytelnionym atakującym wykonywanie działań z podwyższonymi uprawnieniami poprzez spreparowane żądanie do delete.php.
- CVE-2026-111942Średnie
W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-63533Wysokie
W systemie Blood Bank Management System 1.0 w komponentach updateprofile.php i rprofile.php występuje podatność typu cross-site scripting (XSS). Aplikacja nie oczyszcza ani nie koduje danych wejściowych użytkownika przed wyświetleniem ich w odpowiedzi, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do parametrów rname, remail, rpassword, rphone i rcity.
- CVE-2025-63529Średnie
W Blood Bank Management System 1.0 w pliku login.php występuje podatność na utrwalenie sesji (session fixation), która pozwala atakującemu ustawić lub przewidzieć identyfikator sesji użytkownika przed uwierzytelnieniem. Po zalogowaniu ofiary aplikacja nadal używa identyfikatora sesji dostarczonego przez atakującego, co umożliwia przejęcie uwierzytelnionej sesji i nieautoryzowany dostęp do konta ofiary.
- CVE-2025-63528Wysokie
W systemie Blood Bank Management System 1.0 w komponencie blooddinfo.php występuje podatność cross-site scripting (XSS). Aplikacja nie sanityzuje ani nie koduje danych wejściowych przed wyświetleniem, co pozwala na wstrzyknięcie złośliwego JavaScriptu przez parametr error. Skrypt jest wykonywany w przeglądarce ofiary po wyświetleniu strony.
- CVE-2025-63527Wysokie
W Blood Bank Management System 1.0 występuje podatność XSS w komponentach updateprofile.php i hprofile.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametrów hname, hemail, hpassword, hphone, hcity.
- CVE-2025-63526Wysokie
W Blood Bank Management System występuje podatność XSS w komponencie abs.php. Aplikacja nie sanityzuje danych wejściowych, co pozwala na wstrzyknięcie złośliwego JavaScriptu do parametru msg.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability exists in the Blood Bank Management System 1.0 within the login.php component. The application fails to properly sanitize or encode user-supplied input before rendering it in response. An attacker can inject malicious JavaScript payloads into the msg and error parameters, which are then executed in the victim's browser when the page is viewed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS