SQL-инъекция в Online Food Ordering System (CVE-2026-90854)

В системе онлайн-заказа еды Online Food Ordering System 1.0, разработанной SourceCodester и katojkalemba, выявлена уязвимость класса SQL-инъекция. Сведения опубликованы в базе CVE Project, идентификатор — CVE-2026-90854.

Подробности

Уязвимость затрагивает версию 1.0 продукта Online Food Ordering System в обеих вариациях — от SourceCodester и от katojkalemba. Проблема локализована в файле /web/category-foods.php: неизвестная функция этого файла некорректно обрабатывает аргумент ID. В результате манипуляции этим параметром злоумышленник может внедрить произвольный SQL-код в запрос к базе данных.

Успешная эксплуатация позволяет получить несанкционированный доступ к данным, хранящимся в СУБД, — вплоть до чтения, изменения или удаления информации. Атака выполняется удалённо, то есть не требует физического доступа к серверу или локальной сети.

Уязвимости присвоена базовая оценка CVSS 6.9, что соответствует среднему уровню критичности. Существенным фактором риска является то, что эксплойт уже опубликован в открытом доступе: это снижает порог входа для атакующих и повышает вероятность массовых сканирований и попыток эксплуатации.

Что делать

На текущий момент информация об официальном патче в записи CVE не приводится. Владельцам и администраторам систем на базе Online Food Ordering System 1.0 рекомендуется:

• проверить, используется ли в инфраструктуре затронутый файл /web/category-foods.php и доступен ли он из внешней сети;
• отслеживать обновления от SourceCodester и katojkalemba и установить исправленную версию сразу после её выпуска;
• как временную митигацию — ограничить доступ к уязвимому скрипту средствами веб-сервера или WAF, а также валидировать и экранировать все входные параметры (в частности, аргумент ID) на стороне приложения;
• использовать параметризованные запросы вместо конкатенации строк при формировании SQL-запросов;
• провести проверку журналов веб-сервера и СУБД на признаки попыток эксплуатации уязвимости.

SQL-инъекции остаются одной из наиболее распространённых и опасных категорий веб-уязвимостей, поскольку напрямую ставят под угрозу целостность и конфиденциальность данных. В случае CVE-2026-90854 ситуацию усугубляет наличие публичного эксплойта, поэтому меры по обнаружению и блокировке атак стоит принимать без промедления.

Источник: CVE Project (cvelistV5)