CVE-2026-114265
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku returned_book_search.php (komponent formularza wyszukiwania) nie zabezpiecza argumentów datefrom/dateto, co umożliwia wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystany do ataków.
Ocena ryzyka
Możliwe nieautoryzowane odczytanie lub modyfikacja danych w bazie aplikacji, a w zależności od uprawnień bazy także dalsza eskalacja. Ryzyko dotyczy wdrożeń tego systemu dostępnych z sieci.
Rekomendacja
Wprowadź parametryzację zapytań i walidację argumentów datefrom/dateto w returned_book_search.php. Do czasu poprawki ogranicz dostęp do aplikacji lub wyłącz podatny formularz.
Inne podatności w ProjectWorlds Advanced Library Management System
Zobacz wszystkie- CVE-2026-114266Średnie
W ProjectWorlds Advanced Library Management System 1.0 wykryto podatność bezpieczeństwa w funkcji mysqli_query w pliku profile.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-114264Średnie
W ProjectWorlds Advanced Library Management System 1.0 w pliku edit_member.php manipulacja argumentami firstname/middlename/lastname/address/branch/type prowadzi do wstrzyknięcia SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-11426Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność w pliku /edit_book.php. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików, co może umożliwić zdalne wykonanie kodu. Exploit został opublikowany i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in ProjectWorlds Advanced Library Management System 1.0. This affects the function mysqli_query of the file returned_book_search.php of the component Search Form. Executing a manipulation of the argument datefrom/dateto can lead to sql injection. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS