CVE-2026-114266
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W ProjectWorlds Advanced Library Management System 1.0 wykryto podatność bezpieczeństwa w funkcji mysqli_query w pliku profile.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie wykonywać dowolne zapytania SQL, co może prowadzić do kradzieży, modyfikacji lub usunięcia danych z bazy danych.
Rekomendacja
Jak najszybciej zastosuj poprawkę lub obejście, ponieważ exploit jest publicznie dostępny; rozważ wdrożenie filtrowania danych wejściowych i zasad least privilege dla konta bazy danych.
Inne podatności w ProjectWorlds Advanced Library Management System
Zobacz wszystkie- CVE-2026-114265Średnie
W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku returned_book_search.php (komponent formularza wyszukiwania) nie zabezpiecza argumentów datefrom/dateto, co umożliwia wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystany do ataków.
- CVE-2026-114264Średnie
W ProjectWorlds Advanced Library Management System 1.0 w pliku edit_member.php manipulacja argumentami firstname/middlename/lastname/address/branch/type prowadzi do wstrzyknięcia SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-11426Średnie
W systemie projectworlds Advanced Library Management System 1.0 wykryto podatność w pliku /edit_book.php. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików, co może umożliwić zdalne wykonanie kodu. Exploit został opublikowany i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in ProjectWorlds Advanced Library Management System 1.0. This impacts the function mysqli_query of the file profile.php. The manipulation of the argument admin_id leads to sql injection. The attack is possible to be carried out remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS