Platform
php
Component
phpgurukul-online-shopping-portal-project
Opgelost in
2.1.1
CVE-2026-5639 is een SQL Injection kwetsbaarheid ontdekt in de PHPGurukul Online Shopping Portal Project. Deze kwetsbaarheid stelt een aanvaller in staat om SQL-code uit te voeren, wat kan leiden tot ongeautoriseerde toegang tot en manipulatie van de database. De kwetsbaarheid treft versie 2.1 van de software en kan op afstand worden misbruikt; een exploit is reeds gepubliceerd.
Een SQL-injectie kwetsbaarheid is ontdekt in PHPGurukul Online Shopping Portal Project versie 2.1 (CVE-2026-5639). Deze kwetsbaarheid beïnvloedt een onbekende functie binnen het bestand /admin/update-image3.php, specifiek in de Parameter Handler component. Een aanvaller kan deze fout uitbuiten door het argument 'filename' te manipuleren, wat mogelijk de uitvoering van kwaadaardige SQL-code op de database van het portaal kan toestaan. De ernst van de kwetsbaarheid wordt beoordeeld als 6.3 op de CVSS-schaal, wat een matig risico aangeeft. Exploitatie is remote, wat betekent dat een aanvaller de kwetsbaarheid kan benutten vanaf elke locatie met netwerktoegang. De publicatie van een functionerende exploit vergroot het risico op aanvallen aanzienlijk.
De kwetsbaarheid ligt in de manier waarop de Parameter Handler component het argument 'filename' binnen het bestand /admin/update-image3.php verwerkt. Een aanvaller kan kwaadaardige SQL-code in dit argument injecteren, die vervolgens tegen de database wordt uitgevoerd. De publicatie van een functionerende exploit betekent dat aanvallers nu een bewezen hulpmiddel hebben om deze kwetsbaarheid te exploiteren. Dit vergroot de kans dat kwetsbare systemen worden aangevallen, vooral als er geen mitigatiestappen worden ondernomen. De remote aard van de kwetsbaarheid maakt deze bijzonder gevaarlijk, omdat aanvallers geen fysieke toegang tot de server nodig hebben om deze te exploiteren.
Organizations and individuals using the PHPGurukul Online Shopping Portal Project version 2.1, particularly those hosting their own instances or using shared hosting environments, are at risk. Websites relying on this project for e-commerce functionality are especially vulnerable to data breaches and service disruption.
• php / server:
grep -r 'filename = $_POST['filename']' /var/www/html/admin/update-image3.php• php / server:
journalctl -u php-fpm | grep 'SQL injection attempt'• generic web:
curl -I <affected_url>/admin/update-image3.php?filename='; DROP TABLE users;--disclosure
Exploit Status
EPSS
0.01% (1% percentiel)
CISA SSVC
CVSS-vector
Momenteel is er geen officiële fix (fix) beschikbaar gesteld door PHPGurukul voor deze kwetsbaarheid. De meest effectieve directe mitigatie is het upgraden naar een nieuwere versie van het Online Shopping Portal Project zodra deze beschikbaar is. In de tussentijd wordt het aanbevolen om strenge invoervalidatie en -sanering van alle gebruikersinvoer te implementeren, met name die welke betrekking heeft op bestandsnamen. Bovendien kan het beperken van de toegang tot het /admin/update-image3.php admin-paneel tot geautoriseerde gebruikers en het monitoren van systeemactiviteit op verdachte patronen helpen om het risico te verminderen. Overweeg ook het gebruik van een webapplicatiefirewall (WAF) om kwaadaardig verkeer te filteren.
Actualice el proyecto PHPGurukul Online Shopping Portal Project a una versión corregida. Verifique y sanee las entradas del usuario, especialmente el parámetro 'filename', para prevenir la inyección SQL. Implemente validación y escape adecuados de los datos antes de utilizarlos en consultas SQL.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Het is een unieke identificatie voor deze kwetsbaarheid, gebruikt om deze te volgen en te refereren in verschillende beveiligingscontexten.
Het is een open-source project voor het maken van een online winkelportaal met behulp van PHP.
Als u versie 2.1 van het Online Shopping Portal Project gebruikt, is de kans groot dat u kwetsbaar bent. Voer een beveiligingsaudit uit om dit te bevestigen.
Hoewel er geen specifieke tools zijn, kunnen web-kwetsbaarheidsscanners SQL-injecties in het algemeen detecteren. Controleer de broncode op de kwetsbaarheid.
Isoleer het getroffen systeem, wijzig alle gebruikerswachtwoorden, voer een forensisch onderzoek uit en herstel vanuit een schone back-up.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.