SQL-инъекция в itsourcecode Sales and Inventory System (CVE-2026-90700)

В системе управления продажами и складом itsourcecode Sales and Inventory System 1.0 выявлена уязвимость, позволяющая проводить SQL-инъекции. Проблема затрагивает обработку пользовательского ввода в файле /pages/pro_edit1.php и связана с недостаточной проверкой аргумента prodcode.

Подробности

Уязвимость классифицируется как SQL-инъекция (SQL Injection) и имеет идентификатор CVE-2026-90700. Уязвимый компонент — функция обработки параметра prodcode в файле /pages/pro_edit1.php продукта itsourcecode Sales and Inventory System версии 1.0. Точная функция, в которой возникает проблема, в описании не раскрыта. Базовый балл CVSS составляет 5.3, что соответствует среднему уровню критичности. Атака может быть выполнена удалённо, без необходимости физического доступа к системе или предварительной аутентификации в привилегированной роли. Поскольку эксплойт уже опубликован в открытых источниках, вероятность его практического использования злоумышленниками повышается — такие уязвимости часто становятся целью автоматизированных сканеров и массовых атак. SQL-инъекция возникает из-за того, что значение параметра prodcode попадает в SQL-запрос без должной санитизации. Это позволяет attacker'у подставлять произвольные SQL-конструкции и потенциально получать доступ к данным базы, изменять или удалять их, а в некоторых конфигурациях — выполнять команды на стороне СУБД. Для системы учёта продаж и склада это означает риск утечки коммерческой информации, данных о товарах, заказах и контрагентах. Сведения об уязвимости раскрыты публично. На момент публикации информации о наличии официального патча от производителя в записи CVE не приводится.

Что делать

В первую очередь рекомендуется проверить, используется ли в инфраструктуре itsourcecode Sales and Inventory System версии 1.0. Если да — следует обратиться к производителю за официальным обновлением или патчем и отслеживать его выпуск. До момента выхода исправления целесообразно применить компенсирующие меры:

• Ограничить сетевой доступ к веб-интерфейсу системы — не размещать её в открытом интернете без необходимости, использовать VPN или ограничение по IP.
• Разместить перед приложением WAF с правилами фильтрации SQL-инъекций.
• Провести проверку журналов веб-сервера и СУБД на предмет подозрительных запросов к /pages/pro_edit1.php.
• Убедиться, что учётная запись, под которой работает приложение, имеет минимально необходимые права в базе данных.

Если обновление недоступно длительное время, стоит рассмотреть замену продукта на поддерживаемое решение с регулярным выпуском патчей безопасности. Итог: CVE-2026-90700 — умеренно опасная, но уже публично эксплуатируемая SQL-инъекция в itsourcecode Sales and Inventory System 1.0. Наличие готового эксплойта и удалённый характер атаки делают своевременное обновление или изоляцию системы приоритетной задачей для организаций, использующих этот продукт.

Источник: CVE Project (cvelistV5)