CVE-2026-105387
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W systemie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 odkryto lukę bezpieczeństwa. Dotyczy ona funkcji mysqli_query w pliku cover.php w komponencie Patient Login Handler. Manipulacja argumentem uname/psw prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Produkt używa podejścia rolling releases, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może wykorzystać iniekcję SQL do nieautoryzowanego dostępu do bazy danych, co może prowadzić do kradzieży danych pacjentów lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub tymczasowe wyłączenie funkcji, jeśli to możliwe, oraz monitorowanie systemu pod kątem podejrzanych działań.
Inne podatności w Online-Appointment-Booking-System
Zobacz wszystkie- CVE-2026-109525Wysokie
Podatność w girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 dotyczy brakującej autoryzacji w pliku changebookingstatus.php, w komponencie submit2 Handler. Manipulacja argumentami username[]/timestamp[]/status[] prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-109524Średnie
W projekcie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 wykryto lukę w pliku Admin/showdoctor.php, polegającą na braku autoryzacji. Atakujący może zdalnie wykorzystać tę podatność, a exploit został publicznie ujawniony. Projekt nie odniósł się jeszcze do zgłoszenia, a ze względu na strategię rolling release nie można określić konkretnych wersji.
- CVE-2026-109523Wysokie
Wykryto podatność typu SQL injection w systemie Online-Appointment-Booking-System (girishsaraf) w pliku Admin/getclinic.php, w komponencie AJAX Endpoint. Manipulacja argumentem city/cid pozwala na zdalne wykonanie ataku, a exploit został publicznie ujawniony. Projekt używa modelu rolling release, więc informacje o wersjach nie są dostępne, a zgłoszenie problemu pozostało bez odpowiedzi.
- CVE-2026-109522Wysokie
Wykryto podatność typu SQL injection w systemie Online-Appointment-Booking-System (girishsaraf) w pliku Admin/deleteclinic.php, w komponencie Admin CRUD Endpoint. Manipulacja argumentem cid/did pozwala na zdalne wykonanie ataku, a exploit został publicznie ujawniony. Projekt stosuje model rolling release, więc szczegóły wersji nie są podane, a zgłoszenie problemu pozostało bez odpowiedzi.
- CVE-2026-109521Wysokie
Wykryto podatność typu SQL injection w systemie Online-Appointment-Booking-System (girishsaraf) w pliku changebookingstatus.php. Manipulacja argumentem dateselected pozwala na zdalne wykonanie ataku, a exploit jest publicznie dostępny. Produkt używa modelu rolling release, więc informacje o wersjach nie są dostępne, a zgłoszenie problemu pozostało bez odpowiedzi.
- CVE-2026-105472Średnie
W projekcie girishsaraf Online-Appointment-Booking-System wykryto podatność SQL injection w pliku book.php komponentu Booking Handler. Manipulacja argumentem Doctor/appointment pozwala na przeprowadzenie ataku zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-105471Wysokie
W systemie Online-Appointment-Booking-System (girishsaraf) wykryto podatność SQL injection w pliku signup.php, w komponencie obsługi rejestracji. Manipulacja argumentem fname pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105470Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku locateus.php (komponent Doctor Search Endpoint) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argument doctorname. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-105469Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku get_town.php (komponent AJAX Endpoint) manipulacja argumentami countryid/townid/cid/didval/cidval prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-105468Wysokie
W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku Admin/mlogin.php (komponent Login Handler) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argumenty uname/pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in girishsaraf Online-Appointment-Booking-System up to f427b4757128ca253d33d0cc4e87bbb9c999a4d5. This affects the function mysqli_query of the file cover.php of the component Patient Login Handler. The manipulation of the argument uname/psw results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS