CVE-2026-7095
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność w code-projects Employee Management System 1.0 w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć skrypt do strony edycji, co może prowadzić do kradzieży sesji lub działań w imieniu użytkowników systemu kadrowego.
Rekomendacja
Wdróż walidację i kodowanie danych wejściowych w aplikacji oraz ogranicz dostęp do systemu do zaufanych sieci.
Inne podatności w Employee Management System
Zobacz wszystkie- CVE-2026-76764Wysokie
W systemie Employee Management System 1.0 firmy code-projects znaleziono podatność w nieznanej funkcji pliku /process/aprocess.php komponentu Admin Login Endpoint. Manipulacja argumentem mailuid powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-9451Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /process/applyleaveprocess.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9450Średnie
W systemie Employee Management System 1.0 stwierdzono podatność na wstrzykiwanie SQL w pliku /psubmit.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9449Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /changepassemp.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9448Średnie
Podatność XSS w pliku /applyleave.php w Employee Management System 1.0. Manipulacja argumentem ID prowadzi do wykonania skryptów po stronie przeglądarki.
- CVE-2026-7118Średnie
W code-projects Employee Management System 1.0 w pliku 370project/cancel.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.
- CVE-2026-7117Średnie
W code-projects Employee Management System 1.0 w pliku 370project/approve.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7116Średnie
W code-projects Employee Management System 1.0 wykryto lukę w pliku 370project/mark.php, polegającą na podatności cross-site scripting. Manipulacja danymi wejściowymi pozwala na zdalne wykorzystanie podatności, a publiczny exploit jest już dostępny i może być używany w atakach.
- CVE-2026-7115Średnie
W code-projects Employee Management System 1.0 w pliku 370project/delete.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7114Średnie
W aplikacji Employee Management System 1.0 (code-projects) wykryto podatność w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in code-projects Employee Management System 1.0. This affects an unknown part of the file 370project/edit.php. The manipulation of the argument ID leads to cross site scripting. It is possible to initiate the attack remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS