CVE-2026-7390
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto podatność w funkcji Customer w pliku /index.php?page=customer. Manipulacja argumentem Name prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit jest publiczny i może być wykorzystany.
Ocena ryzyka
Podatność XSS może umożliwić atakującemu wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Zaleca się aktualizację do wersji z poprawką lub wdrożenie walidacji i kodowania danych wejściowych. Do czasu poprawki należy ograniczyć dostęp do aplikacji.
Inne podatności w SourceCodester Pharmacy Sales and Inventory System
Zobacz wszystkie- CVE-2026-10247Niskie
W systemie SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto podatność XSS w funkcji create_generic_name pliku /ShowForm/create_generic_name/main poprzez manipulację argumentem generic_name. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-10246Niskie
W systemie SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto podatność XSS w funkcji create_medicine_presentation pliku /ShowForm/create_medicine_presentation/main poprzez manipulację argumentem medicine_presentation. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-10245Niskie
Funkcja create_supplier w pliku /ShowForm/create_supplier/main w SourceCodester Pharmacy Sales and Inventory System 1.0 jest podatna na atak XSS poprzez manipulację argumentem company_name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-10244Niskie
Funkcja create_medicine_name w pliku /ShowForm/create_medicine_name/main w SourceCodester Pharmacy Sales and Inventory System 1.0 jest podatna na atak XSS poprzez manipulację argumentem medicine_name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-7550Wysokie
W systemie zarządzania sprzedażą i zapasami SourceCodester Pharmacy Sales and Inventory System w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem ID w pliku /ajax.php?action=save_customer prowadzi do wstrzyknięcia SQL.
- CVE-2026-7549Wysokie
W systemie zarządzania sprzedażą i zapasami SourceCodester Pharmacy w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcji w pliku /ajax.php?action=delete_customer. Manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL.
- CVE-2026-7392Średnie
W SourceCodester Pharmacy Sales and Inventory System 1.0 występuje podatność w funkcji delete_supplier w pliku /ajax.php?action=delete_supplier. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak można wykonać zdalnie. Exploit został ujawniony publicznie i może być wykorzystany.
- CVE-2026-7391Średnie
W SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto lukę w funkcji save_supplier w pliku /ajax.php?action=save_supplier. Manipulacja argumentem ID powoduje wstrzyknięcie SQL, a zdalne wykorzystanie jest możliwe. Exploit został opublikowany i może być użyty.
- CVE-2026-7283Średnie
W SourceCodester Pharmacy Sales and Inventory System 1.0 wykryto podatność w funkcji save_expired w pliku /ajax.php?action=save_expired. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-7282Średnie
W SourceCodester Pharmacy Sales and Inventory System 1.0 zidentyfikowano podatność w funkcji delete_expired w pliku /ajax.php?action=delete_expired. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in SourceCodester Pharmacy Sales and Inventory System 1.0. The impacted element is the function Customer of the file /index.php?page=customer. The manipulation of the argument Name results in cross site scripting. The attack may be launched remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS