CVE-2026-71207
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Aplikacja Stock-Inventory-Management-System w login.php przypisuje surowe wartości nazwy użytkownika i hasła do zapytania SQL bez parametryzacji, co umożliwia wstrzyknięcie SQL. Dodatkowo skrypt zawiera zakodowane na stałe poświadczenia administratora (admin/neola), co stanowi drugą, niezależną ścieżkę całkowitego ominięcia uwierzytelniania.
Ocena ryzyka
Ryzyko całkowitego przejęcia aplikacji i bazy danych przez atakującego, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Natychmiast zmień zakodowane poświadczenia administratora i zastosuj parametryzowane zapytania SQL. Dodatkowo wdróż mechanizmy uwierzytelniania oparte na bezpiecznych praktykach.
Oryginalny opis (angielski, źródło NVD)
The Stock-Inventory-Management-System application's login.php assigns raw username/password values to and builds its authentication query by directly concatenating those session values into a SQL statement with no parameterization or escaping. The same script additionally contains hardcoded administrative credentials (admin/neola) in a post-login conditional check, providing a second, independent full-authentication-bypass path.