CVE-2026-76764
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W systemie Employee Management System 1.0 firmy code-projects znaleziono podatność w nieznanej funkcji pliku /process/aprocess.php komponentu Admin Login Endpoint. Manipulacja argumentem mailuid powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Atakujący może wykorzystać wstrzyknięcie SQL do ominięcia uwierzytelniania lub uzyskania nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację systemu do wersji z poprawką oraz stosowanie sparametryzowanych zapytań.
Inne podatności w Employee Management System
Zobacz wszystkie- CVE-2026-9451Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /process/applyleaveprocess.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9450Średnie
W systemie Employee Management System 1.0 stwierdzono podatność na wstrzykiwanie SQL w pliku /psubmit.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9449Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /changepassemp.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9448Średnie
Podatność XSS w pliku /applyleave.php w Employee Management System 1.0. Manipulacja argumentem ID prowadzi do wykonania skryptów po stronie przeglądarki.
- CVE-2026-7118Średnie
W code-projects Employee Management System 1.0 w pliku 370project/cancel.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.
- CVE-2026-7117Średnie
W code-projects Employee Management System 1.0 w pliku 370project/approve.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7116Średnie
W code-projects Employee Management System 1.0 wykryto lukę w pliku 370project/mark.php, polegającą na podatności cross-site scripting. Manipulacja danymi wejściowymi pozwala na zdalne wykorzystanie podatności, a publiczny exploit jest już dostępny i może być używany w atakach.
- CVE-2026-7115Średnie
W code-projects Employee Management System 1.0 w pliku 370project/delete.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7114Średnie
W aplikacji Employee Management System 1.0 (code-projects) wykryto podatność w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-7095Średnie
Zidentyfikowano podatność w code-projects Employee Management System 1.0 w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in code-projects Employee Management System 1.0. The impacted element is an unknown function of the file /process/aprocess.php of the component Admin Login Endpoint. This manipulation of the argument mailuid causes sql injection. Remote exploitation of the attack is possible. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS