CVE-2026-108948

ŚrednieCVSS 5.4

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Podatność w Online Reviewer System (code-projects) w wersji 1.0. Nieznany kod w pliku /reviewer/system/system/admins/manage/users/btn_functions.php komponentu User Profile Update Handler ma problem z argumentem usertype_id, co prowadzi do dynamicznie określanych atrybutów obiektów. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.

Ocena ryzyka

Ryzyko nieautoryzowanej modyfikacji danych użytkowników lub eskalacji uprawnień z powodu dynamicznych atrybutów obiektów.

Rekomendacja

Zaleca się aktualizację Online Reviewer System do najnowszej wersji lub zastosowanie dostępnych poprawek; ograniczyć dostęp do systemu.

Inne podatności w Online Reviewer System

CVE-2026-4972Niskie
Wykryto podatność typu cross-site scripting (XSS) w systemie Online Reviewer System w wersji do 1.0. Manipulacja argumentem Description w pliku /system/system/students/assessments/databank/btn_functions.php pozwala na zdalne przeprowadzenie ataku, a publiczny exploit jest już dostępny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in code-projects Online Reviewer System 1.0. This vulnerability affects unknown code of the file /reviewer/system/system/admins/manage/users/btn_functions.php of the component User Profile Update Handler. The manipulation of the argument usertype_id leads to dynamically-determined object attributes. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS