CVE-2026-14648
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W systemie Online Voting System do wersji 1.0 wykryto podatność SQL injection w funkcji test_input pliku /authentication.php komponentu Login. Manipulacja argumentami adminUserName/adminPassword umożliwia zdalne wstrzyknięcie kodu SQL.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść lub zmodyfikować dane użytkowników i głosów, co zagraża integralności systemu wyborczego.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji, zastosować parametryzowane zapytania SQL oraz walidację danych wejściowych w pliku /authentication.php.
Inne podatności w Online Voting System
Zobacz wszystkie- CVE-2026-14649Wysokie
W systemie Online Voting System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /saveVote.php. Funkcja test_input nieprawidłowo filtruje dane wejściowe, co pozwala atakującemu na manipulację argumentami voterName, voterEmail, voterID i selectedCandidate. Atak może być przeprowadzony zdalnie.
- CVE-2025-13287Średnie
Podatność SQL Injection w Online Voting System 1.0 od itsourcecode. Atak przez manipulację argumentem id/category w pliku /index.php?page=categories. Atak może być wykonany zdalnie, exploit jest publicznie dostępny.
- CVE-2025-13286Średnie
Odkryto lukę w zabezpieczeniach itsourcecode Online Voting System 1.0. Podatny element to nieznana funkcja w pliku /ajax.php?action=save_user. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie udostępniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in code-projects Online Voting System up to 0.x/1.0. This issue affects the function test_input of the file /authentication.php of the component Login. Such manipulation of the argument adminUserName/adminPassword leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS