CVE-2026-111942
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Osoba atakująca może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary, prowadząc do kradzieży danych sesyjnych lub innych działań w kontekście użytkownika. Ponieważ exploit jest publicznie dostępny, ryzyko jest wysokie.
Rekomendacja
Ponieważ projekt nie odpowiedział na zgłoszenie, zaleca się zaprzestanie korzystania z tej aplikacji lub samodzielne naprawienie podatności poprzez walidację i escapowanie danych wejściowych. Rozważ wdrożenie WAF.
Inne podatności w Blood_Bank_Management_System
Zobacz wszystkie- CVE-2025-63535Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie abs.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63532Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie cancel.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polem wyszukiwania, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63531Krytyczne
Podatność SQL injection w systemie Blood Bank Management System 1.0 w komponencie receiverLogin.php. Aplikacja nie filtruje danych wejściowych użytkownika w zapytaniach SQL, co pozwala atakującemu na wstrzyknięcie dowolnego kodu SQL. Manipulując polami remail i rpassword, atakujący może ominąć uwierzytelnianie i uzyskać nieautoryzowany dostęp do systemu.
- CVE-2025-63525Krytyczne
W systemie Blood Bank Management System 1.0 odkryto problem umożliwiający uwierzytelnionym atakującym wykonywanie działań z podwyższonymi uprawnieniami poprzez spreparowane żądanie do delete.php.
- CVE-2025-63528Wysokie
W systemie Blood Bank Management System 1.0 w komponencie blooddinfo.php występuje podatność cross-site scripting (XSS). Aplikacja nie sanityzuje ani nie koduje danych wejściowych przed wyświetleniem, co pozwala na wstrzyknięcie złośliwego JavaScriptu przez parametr error. Skrypt jest wykonywany w przeglądarce ofiary po wyświetleniu strony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in hrisikeshpal Blood_Bank_Management_System 1.0.0. Impacted is an unknown function of the file /abs.php. This manipulation of the argument Search causes cross site scripting. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS