平台
php
组件
projectworlds-car-rental-system
修复版本
1.0.1
CVE-2026-5645是一个SQL注入漏洞，影响projectworlds Car Rental System的Parameter Handler组件中的/pay.php文件。攻击者可以通过操纵mpesa参数，未经授权地访问或修改数据库中的数据，可能导致敏感信息泄露或系统损坏。该漏洞影响projectworlds Car Rental System版本1.0.0–1.0。目前尚未发布官方补丁。
在Projectworlds的Car Rental System 1.0中，发现文件/pay.php的Parameter Handler组件存在SQL注入漏洞。此漏洞影响了处理'mpesa'参数的未知功能。攻击者可以通过操纵此参数来执行恶意SQL查询，从而可能未经授权访问、修改或删除数据库中的敏感数据。该漏洞的严重程度评分为CVSS 7.3，表明中等至高风险。漏洞利用代码的公开可用性大大增加了恶意攻击者发动攻击的风险，因为它便于各种技术水平的攻击者利用。由于没有提供修复程序，因此必须立即采取积极措施来降低风险。
此漏洞位于Projectworlds的Car Rental System 1.0的Parameter Handler组件的一部分，即/pay.php文件中。攻击者可以通过向/pay.php发送恶意HTTP请求并使用恶意SQL代码操纵'mpesa'参数来利用此漏洞。此漏洞的远程性质意味着攻击者可以从具有访问执行Car Rental System的系统的网络访问权限的任何位置发起攻击。漏洞利用代码的公开可用性使得各种技术水平的攻击者更容易利用它。潜在影响包括泄露机密信息、修改数据以及中断服务。
Organizations utilizing projectworlds Car Rental System, particularly those hosting the application on shared hosting environments or without robust input validation practices, are at significant risk. Businesses relying on the Car Rental System for critical operations, such as managing reservations and processing payments, are especially vulnerable to the potential impact of data breaches and service disruptions.
• php: Examine access logs for requests to /pay.php with unusual or malformed 'mpesa' parameters. Use grep to search for suspicious SQL keywords within the request parameters.
grep 'mpesa[=](;|--)' /var/log/apache2/access.log• generic web: Use curl to test the /pay.php endpoint with various SQL injection payloads to identify potential vulnerabilities.
curl 'http://your-car-rental-system/pay.php?mpesa=1' # Basic test
curl 'http://your-car-rental-system/pay.php?mpesa=1; DROP TABLE users;' # Malicious payload (test in a safe environment)disclosure
漏洞利用状态
EPSS
0.04% (11% 百分位)
CISA SSVC
CVSS 向量
由于没有提供官方修复程序（fix: none），因此减轻此漏洞需要积极主动和手动的方法。强烈建议Car Rental System 1.0的管理员彻底审计代码，特别是/pay.php文件，以识别和修复SQL注入漏洞。对所有用户输入，特别是'mpesa'参数，实施强大的输入验证和清理至关重要。还建议限制应用程序使用的数据库帐户的权限，并考虑实施Web应用程序防火墙（WAF），以检测和阻止SQL注入尝试。积极监控系统日志以查找可疑活动也很重要。
Actualice el sistema Car Rental System a una versión corregida. Revise y sanee la entrada de datos en el parámetro 'mpesa' en el archivo /pay.php para prevenir inyecciones SQL. Implemente validación y escape adecuados para evitar la ejecución de código SQL malicioso.
漏洞分析和关键警报直接发送到您的邮箱。
CVSS 7.3表示中等至高风险的漏洞。需要立即注意，但不是最严重的级别。
如果您不是开发人员，请通知您的系统管理员此漏洞，并要求他们采取措施来减轻它。
有一些静态和动态代码分析工具可以帮助识别SQL注入漏洞。但是，手动代码审查仍然至关重要。
WAF（Web Application Firewall）是一种安全工具，可以过滤HTTP流量并阻止恶意攻击，包括SQL注入。
您可以在OWASP（开放Web应用程序安全项目）和SANS Institute等网站上找到有关SQL注入的更多信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。