CVE-2026-114243
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W aplikacji Insurance-Management-System wykryto podatność SQL Injection w funkcji mysqli_query w pliku /Agent/ManagePolicy/EditPolicyHolder.php. Manipulacja argumentem Policy_no/Name pozwala na wstrzyknięcie kodu SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Jak najszybciej wdrożyć poprawkę lub obejście (np. walidację i parametryzację zapytań) oraz ograniczyć dostęp do aplikacji. Monitorować logi pod kątem prób wstrzyknięcia SQL.
Inne podatności w Insurance-Management-System
Zobacz wszystkie- CVE-2026-114249Wysokie
W systemie Insurance-Management-System wykryto podatność w nieznanym kodzie pliku `/Agent/includes/UpdatePolicyHolder-inc.php` w komponencie formularza aktualizacji ubezpieczającego. Manipulacja argumentem `Policy_no` prowadzi do niewłaściwej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-114242Wysokie
W systemie Insurance-Management-System wykryto podatność w funkcji `mysqli_query` w pliku `/Admin/View/editPlan.php`. Manipulacja argumentem `Plan_no/Name` prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2024-31064Średnie
Podatność Cross Site Scripting (XSS) w systemie Insurance Management System w wersji 1.0.0 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez pole "First Name".
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in dhikshitha29 Insurance-Management-System 91de5edda5baa109ad8e9baf03ce6a3ceda84183/125362cc21dca20d74091a4913a5096bb58dd837. Affected by this vulnerability is the function mysqli_query of the file /Agent/ManagePolicy/EditPolicyHolder.php. Performing a manipulation of the argument Policy_no/Name results in sql injection. The attack is possible to be carried out remotely. The exploit has been released to the public and may be used for attacks. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS