CVE-2026-76785
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie Mini-Inventory-and-Sales-Management-System 0.1 odkryto podatność SQL injection w funkcji Transaction::getAll pliku application/models/Transaction.php. Manipulacja argumentami orderBy/orderFormat umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystywany.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia. Projekt nie odpowiedział na zgłoszenie, więc ryzyko pozostaje niezałatane.
Rekomendacja
Należy natychmiast zastosować poprawkę lub tymczasowo wyłączyć funkcję, jeśli to możliwe. Zaleca się również walidację i sanityzację danych wejściowych dla argumentów orderBy i orderFormat.
Inne podatności w Mini-Inventory-and-Sales-Management-System
Zobacz wszystkie- CVE-2026-100904Niskie
W projekcie mini-inventory-and-sales-management-system wykryto podatność na cross-site scripting (XSS) w pliku application/controllers/Items.php. Manipulacja argumentem itemName umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-100887Średnie
W projekcie Mini-Inventory-and-Sales-Management-System wykryto podatność na iniekcję SQL w funkcji order_by w pliku DB_query_builder.php. Manipulacja argumentem orderBy umożliwia zdalny atak. Exploit jest publicznie dostępny. Projekt nie jest już wspierany przez autora.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in amirsanni Mini-Inventory-and-Sales-Management-System 0.1. Affected is the function Transaction::getAll of the file application/models/Transaction.php. Performing a manipulation of the argument orderBy/orderFormat results in sql injection. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS