CVE-2026-9451
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /process/applyleaveprocess.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do bazy danych, wyciek danych oraz potencjalne przejęcie kontroli nad systemem.
Rekomendacja
Należy natychmiast zastosować poprawkę zabezpieczającą przed wstrzykiwaniem SQL, np. poprzez użycie sparametryzowanych zapytań.
Inne podatności w Employee Management System
Zobacz wszystkie- CVE-2026-76764Wysokie
W systemie Employee Management System 1.0 firmy code-projects znaleziono podatność w nieznanej funkcji pliku /process/aprocess.php komponentu Admin Login Endpoint. Manipulacja argumentem mailuid powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-9450Średnie
W systemie Employee Management System 1.0 stwierdzono podatność na wstrzykiwanie SQL w pliku /psubmit.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9449Średnie
W systemie Employee Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /changepassemp.php. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9448Średnie
Podatność XSS w pliku /applyleave.php w Employee Management System 1.0. Manipulacja argumentem ID prowadzi do wykonania skryptów po stronie przeglądarki.
- CVE-2026-7118Średnie
W code-projects Employee Management System 1.0 w pliku 370project/cancel.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.
- CVE-2026-7117Średnie
W code-projects Employee Management System 1.0 w pliku 370project/approve.php manipulacja argumentem id/token prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7116Średnie
W code-projects Employee Management System 1.0 wykryto lukę w pliku 370project/mark.php, polegającą na podatności cross-site scripting. Manipulacja danymi wejściowymi pozwala na zdalne wykorzystanie podatności, a publiczny exploit jest już dostępny i może być używany w atakach.
- CVE-2026-7115Średnie
W code-projects Employee Management System 1.0 w pliku 370project/delete.php manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-7114Średnie
W aplikacji Employee Management System 1.0 (code-projects) wykryto podatność w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-7095Średnie
Zidentyfikowano podatność w code-projects Employee Management System 1.0 w pliku 370project/edit.php. Manipulacja argumentem ID prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in code-projects Employee Management System 1.0. Affected by this vulnerability is an unknown functionality of the file /process/applyleaveprocess.php. This manipulation of the argument ID causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS