SQL-инъекция в CodeAstro Simple Pharmacy Management System 1.0 (CVE-2026-104614)
В CodeAstro Simple Pharmacy Management System 1.0 обнаружена уязвимость SQL-инъекции в файле /SimplePharmacy-PHP/product/delete.php. Атаку можно провести удалённо, а публичный эксплойт уже доступен. Уровень опасности — средний (CVSS 5.3).
Подробности
Уязвимость затрагивает файл /SimplePharmacy-PHP/product/delete.php. При обработке аргумента ID происходит манипуляция входными данными, что приводит к SQL-инъекции. Это позволяет злоумышленнику внедрять произвольные SQL-запросы в базу данных приложения. Атака может быть выполнена удалённо, без необходимости физического доступа к серверу или аутентификации в некоторых сценариях. На момент публикации записи CVE точная версия продукта, подверженная уязвимости, — CodeAstro Simple Pharmacy Management System 1.0. Другие версии не указаны. Эксплойт находится в открытом доступе, что повышает риск его практического использования. Вектор атаки — сетевой (AV:N), сложность — низкая (AC:L), требования к привилегиям и взаимодействию с пользователем не уточнены в базовой записи, но итоговая базовая оценка 5.3 указывает на среднюю критичность.Что делать
На данный момент официальный патч от производителя не опубликован. В качестве первоочередных мер рекомендуется:- Ограничить доступ к файлу /SimplePharmacy-PHP/product/delete.php на уровне веб-сервера (например, через правила .htaccess или конфигурацию Nginx), если функционал удаления продуктов не используется постоянно.
- Провести аудит входных данных: убедиться, что параметр ID передаётся только в виде целого числа и обрабатывается с использованием подготовленных выражений (prepared statements).
- Рассмотреть возможность замены или изоляции компонента, если обновление недоступно.
- Включить веб-application firewall (WAF) с правилами для обнаружения SQL-инъекций в параметрах запроса.
- Регулярно проверять официальные каналы CodeAstro на предмет выпуска исправления.
Источник: CVE Project (cvelistV5)