CVE-2026-86268
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność SQL injection w itsourcecode School Management System 1.0, dotycząca nieznanej funkcji w pliku User_Login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, exploit jest publiczny.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść dane lub je zmodyfikować, co zagraża poufności i integralności danych systemu.
Rekomendacja
Zastosuj poprawki lub użyj zapytań parametryzowanych, a także ogranicz dostęp do logowania.
Inne podatności w School Management System
Zobacz wszystkie- CVE-2026-47325Średnie
System zarządzania szkołą ProjectsAndPrograms school-management-system używa przewidywalnych haseł, generując hasła uczniów i nauczycieli wyłącznie na podstawie daty urodzenia (np. 12072000 dla 12 lipca 2000). Aplikacja nie wymaga ani nie zachęca do zmiany hasła przy pierwszym logowaniu. Umożliwia to atakującym łatwe odgadnięcie lub wyliczenie poprawnych danych logowania, prowadząc do nieautoryzowanego dostępu do kont.
- CVE-2026-47324Średnie
System zarządzania szkołą ProjectsAndPrograms jest podatny na trwałe ataki XSS w wielu atrybutach obiektów uczniów i nauczycieli. Uwierzytelniony atakujący (np. nauczyciel lub administrator) może wstrzyknąć złośliwy JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników. W połączeniu z CVE-2025-11661, umożliwiającym nieuwierzytelniony dostęp do endpointów backendu, podatność ta może być wykorzystana zdalnie bez uprawnień.
- CVE-2026-37750Średnie
W systemie School Management System autorstwa mahmoudai1 wykryto odbitą podatność Cross-Site Scripting (XSS). Niezautoryzowany atakujący zdalnie może wykonać dowolny kod JavaScript w przeglądarce ofiary poprzez niesanitowany parametr type w pliku register.php.
- CVE-2025-65136Średnie
W manikandan580 School-management-system 1.0 występuje podatność reflected XSS w pliku /studentms/admin/contact-us.php poprzez parametr POST pagedes. Podatność pozwala na odbicie złośliwego skryptu w odpowiedzi serwera.
- CVE-2025-13795Niskie
Podatność XSS w School Management System (wersja rolling release) występuje w pliku /student-view.php w komponencie Edit Student Info Page. Manipulacja argumentem First Name powoduje XSS. Atak zdalny jest możliwy, exploit publiczny.
- CVE-2024-46334Średnie
System School Management System 1.0 jest podatny na Cross Site Scripting (XSS) poprzez parametry formuser i formpassword w pliku /adminLogin.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2025-11056Średnie
System School Management System 1.0 firmy ProjectsAndPrograms ma podatność SQL injection w pliku owner_panel/fetch-data/select-students.php. Manipulacja argumentem select umożliwia zdalny atak. Exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in itsourcecode School Management System 1.0. Impacted is an unknown function of the file User_Login.php. The manipulation of the argument email results in sql injection. The attack can be executed remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS