CVE-2026-7129
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wykryto podatność w SourceCodester Pharmacy Sales and Inventory System 1.0. Dotyczy ona nieznanej funkcji pliku /index.php?page=categories. Manipulacja argumentem ID prowadzi do cross site scripting.
Ocena ryzyka
Atakujący może zdalnie wykorzystać podatność XSS, co może prowadzić do kradzieży sesji lub wykonania działań w imieniu użytkownika. Exploit jest publicznie dostępny i może być użyty.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych dla argumentu ID oraz rozważyć aktualizację lub zastąpienie podatnego oprogramowania.
Inne podatności w Pharmacy Sales and Inventory System
Zobacz wszystkie- CVE-2026-10255Średnie
Pharmacy Sales and Inventory System 1.0 ma podatność w funkcji sell_statement pliku application/controllers/ShowForm.php, prowadzącą do nieprawidłowej kontroli dostępu.
- CVE-2026-10248Średnie
W systemie Pharmacy Sales and Inventory System do wersji 1.0 odkryto podatność na wstrzykiwanie CSV. Problem występuje w interfejsie tworzenia dostawcy, gdzie argumenty Address/Company Name są nieprawidłowo przetwarzane. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-8136Niskie
W SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto podatność w nieznanej części pliku /index.php?page=users. Manipulacja argumentem Name może prowadzić do cross-site scripting. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.
- CVE-2026-7199Wysokie
W systemie Pharmacy Sales and Inventory System 1.0 od SourceCodester wykryto podatność w pliku /ajax.php?action=delete_product. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in SourceCodester Pharmacy Sales and Inventory System 1.0. Impacted is an unknown function of the file /index.php?page=categories. Performing a manipulation of the argument ID results in cross site scripting. The attack is possible to be carried out remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS