CVE-2026-5640
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W PHPGurukul Online Shopping Portal Project 2.1 wykryto podatność SQL Injection w pliku /admin/update-image2.php w komponencie Parameter Handler. Manipulacja argumentem filename prowadzi do wstrzyknięcia złośliwego kodu SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność umożliwia nieautoryzowany dostęp do bazy danych, co może prowadzić do wycieku, modyfikacji lub utraty danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy jak najszybciej zaktualizować aplikację do wersji pozbawionej podatności lub wdrożyć poprawki. Do czasu aktualizacji zaleca się ograniczenie dostępu do pliku /admin/update-image2.php oraz wdrożenie mechanizmów walidacji danych wejściowych.
Inne podatności w PHPGurukul Online Shopping Portal
Zobacz wszystkie- CVE-2024-44659Krytyczne
PHPGurukul Online Shopping Portal 2.0 jest podatny na wstrzykiwanie SQL przez parametr email w pliku forgot-password.php.
- CVE-2026-5639Średnie
Wykryto podatność typu SQL injection w projekcie PHPGurukul Online Shopping Portal w wersji 2.1. Podatna jest nieznana funkcja w pliku /admin/update-image3.php, gdzie manipulacja argumentem filename pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-5606Średnie
PHPGurukul Online Shopping Portal Project 2.1 jest podatny na iniekcję SQL przez parametr 'orderid' w pliku /order-details.php. Atakujący może zdalnie manipulować tym parametrem, co prowadzi do wykonania nieautoryzowanych zapytań SQL.
- CVE-2026-5560Średnie
W PHPGurukul Online Shopping Portal Project 2.1 znaleziono podatność na wstrzykiwanie SQL w pliku /payment-method.php. Manipulacja argumentem paymethod umożliwia zdalne wykonanie ataku. Exploit został opublikowany.
- CVE-2026-5552Średnie
W PHPGurukul Online Shopping Portal Project 2.1 stwierdzono podatność na wstrzykiwanie SQL w pliku /sub-category.php. Manipulacja argumentem pid umożliwia zdalny atak. Exploit został opublikowany.
- CVE-2024-44662Średnie
Aplikacja PHPGurukul Online Shopping Portal 2.0 jest podatna na wstrzykiwanie SQL poprzez parametr username na stronie administratora. Atakujący może manipulować zapytaniami do bazy danych, co może prowadzić do nieautoryzowanego dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in PHPGurukul Online Shopping Portal Project 2.1. The affected element is an unknown function of the file /admin/update-image2.php of the component Parameter Handler. The manipulation of the argument filename leads to sql injection. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS