CVE-2026-9542
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie Leave Management System 1.0 znaleziono lukę w pliku /admin/add_staff.php. Manipulacja argumentem email_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykraść lub zmodyfikować dane w bazie danych, co może naruszyć poufność i integralność systemu.
Rekomendacja
Należy natychmiast zaktualizować Leave Management System do wersji zawierającej poprawkę zabezpieczającą przed wstrzyknięciem SQL.
Inne podatności w Leave Management System
Zobacz wszystkie- CVE-2026-103690Średnie
Znaleziono błąd w itsourcecode Leave Management System 1.0. Podatność dotyczy nieznanego kodu w pliku /module/leave/controller.php. Manipulacja argumentem LEAVEID może prowadzić do sql injection. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-103543Średnie
Wykryto podatność w itsourcecode Leave Management System 1.0. Nieznana funkcja w pliku /module/leavetype/controller.php pozwala na manipulację argumentem LEAVTID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-95833Średnie
Podatność SQL Injection w Leave Management System 1.0. Dotyczy nieznanej funkcji w pliku /module/leavetype/index.php. Manipulacja argumentem ID umożliwia atak SQL Injection zdalnie. Exploit publiczny.
- CVE-2026-94032Średnie
W itsourcecode Leave Management System 1.0 wykryto podatność w nieznanej części pliku /module/department/index.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został opublikowany.
- CVE-2026-93963Średnie
W systemie itsourcecode Leave Management System 1.0 wykryto podatność w nieznanej funkcji pliku /module/department/controller.php. Manipulacja argumentem DEPTID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-90796Średnie
W systemie Leave Management System 1.0 firmy itsourcecode wykryto podatność SQL injection w nieznanej funkcji pliku /module/company/index.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2025-11433Niskie
W systemie Leave Management System 1.0 firmy itsourcecode odkryto podatność na atak typu cross-site scripting (XSS) w funkcji redirect pliku /module/employee/controller.php?action=reset. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in CodeAstro Leave Management System 1.0. The affected element is an unknown function of the file /admin/add_staff.php. Executing a manipulation of the argument email_id can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS