PHP Seite 14

Im code-projects Blood System 1.0 besteht eine Cross-Site-Scripting-Schwachstelle (XSS) in don.php über das Feld city. Angreifer können dadurch potenziell schadhaften Skriptcode im Kontext betroffener Nutzer ausführen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In itsourcecode Sales and Inventory System 1.0 wurde eine Schwachstelle in einer unbekannten Funktion der Datei /pages/cust_edit.php festgestellt. CVSS-Basiswert: 6.3 (Mittel). Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrig privilegiertem Zugriff und ohne Nutzerinteraktion ausnutzbar, mit jeweils geringen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

In itsourcecode Hospital Management System Project in PHP 1.0 wurde laut Quelle eine unbekannte Funktion der Datei /viewservicetype.php als verwundbar identifiziert. Die Manipulation des Arguments delid führt zu einer Sicherheitslücke. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In itsourcecode Hospital Management System 1.0 wurde eine Schwachstelle in einer unbekannten Funktion der Datei /viewpatient.php gefunden. Die Manipulation des Arguments delid führt laut Quelle zu SQL-Injection. CVSS-Basiswert: 6.3 (Mittel).

In itsourcecode Fees Management System 1.0 wurde eine Sicherheitslücke in der Datei /ajax.php gefunden. Durch Manipulation des Arguments „Username” ist eine SQL-Injection möglich. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In SourceCodester Online Food Ordering System 1.0 besteht in der Funktion save_product der Datei /Actions.php (Komponente POST Parameter Handler) eine Schwachstelle, die sich durch manipulierte POST-Parameter aus der Ferne auslösen lässt. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

In itsourcecode Construction Management System 1.0 besteht eine Schwachstelle in einer Funktion der Datei /borrowedtool.php. Durch Manipulation des Parameters code lässt sich eine SQL-Injection auslösen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im PHPGurukul Online Shopping Portal Project 2.1 betrifft eine Schwachstelle einen nicht näher bestimmten Teil der Datei /cancelorder.php in der Komponente Parameter Handler. Die Manipulation lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Im PHPGurukul Online Shopping Portal Project in der Version 2.1 wurde eine Sicherheitslücke festgestellt. Betroffen ist laut Quelle eine nicht näher bezeichnete Funktion der Datei /categorywise-products.php in der Parameter-Verarbeitung. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In halex CourseSEL bis Version 1.1.0 ist die Funktion check_sel der Datei Apps/Index/Controller/IndexController.class.php betroffen. Durch Manipulation kann die Schwachstelle ausgenutzt werden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In PHPGurukul Online Shopping Portal Project 2.1 wurde eine Schwachstelle festgestellt, die eine unbekannte Verarbeitung der Datei /sub-category.php in der Komponente Parameter Handler betrifft. Eine Manipulation ermöglicht den Angriff. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

Im PHPGurukul Online Shopping Portal Project 2.1 lässt sich eine unbekannte Funktion der Datei /payment-method.php (Komponente Parameter Handler) durch Manipulation von Parametern angreifen. Der Angriff ist laut Quelldaten über das Netzwerk möglich. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In PHPGurukul Online Shopping Portal Project 2.1 besteht eine Schwachstelle in der Datei /my-profile.php der Komponente Parameter Handler. Durch Manipulation lässt sich die Schwachstelle ausnutzen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im SourceCodester Human Resource Management System 1.0 wurde eine Schwachstelle in der Datei /detailview.php der Komponente Employee View Page identifiziert. CVSS-Basiswert: 4.3 (Mittel).

In DedeCMS bis Version 5.7.118 UTF8SP2 besteht in der Funktion _4_Setup der Datei install/index.php (Komponente Installation Wizard) eine Schwachstelle. Die Quellbeschreibung zur konkreten Auswirkung der Manipulation ist abgeschnitten. CVSS-Basiswert: 5.0 (Mittel).

Im SourceCodester Pharmacy Product Management System 1.0 besteht eine Schwachstelle in einem unbekannten Teil der Datei add-sales.php innerhalb der POST-Parameter-Verarbeitung. Laut Quelle lässt sich diese durch Manipulation der Eingaben ausnutzen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

HAX CMS verwaltet Microsites mit PHP- oder NodeJS-Backends. In Versionen vor 26.0.0 bringt eine speziell präparierte Anfrage zur Site-Erstellung die NodeJS-Anwendung zum Absturz, wenn sie von einem authentifizierten Angreifer gesendet wird (Denial of Service). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Version 26.0.0 einspielen.

FreeScout ist ein mit PHPs Laravel-Framework entwickeltes Helpdesk- und Shared-Inbox-System. Vor Version 1.8.224 erzwingt die Anwendung keine Ratenbegrenzung am Datei-Upload-Endpunkt. CVSS-Basiswert: 5.3 (Mittel).

Shopware ist eine offene Commerce-Plattform. Vor den Versionen 6.6.10.18 und 6.7.10.1 nimmt der Store-API-Endpunkt /store-api/handle-payment in src/Core/Checkout/Payment/SalesChannel/HandlePaymentMethodRoute.php Eingaben entgegen, die eine Schwachstelle ermöglichen. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion ausnutzbar und beeinträchtigt die Integrität in geringem Umfang. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Shopware 6.6.10.18 bzw. 6.7.10.1 oder neuer.

In NamelessMC 2.2.4 (Website-Software für Minecraft-Server) werden auf der Profilseite Wall-Post-Einreichungen und -Antworten verarbeitet, ohne zuvor zu prüfen, ob der zugreifende Nutzer die entsprechende Berechtigung besitzt. Die Schwachstelle ist als Mittel eingestuft.

In NamelessMC 2.2.4 überprüft die Datei modules/Forum/classes/ForumPostReactionContext.php lediglich, ob der Aufrufer das Forum einsehen kann, erzwingt jedoch keine weiteren Zugriffsrechte für Reaktionen auf Forum-Posts.

In NamelessMC 2.2.4 prüft `ProfilePostReactionContext.php` lediglich die Existenz eines Wall-Posts, ohne Blockier- oder Privatsphäre-Einstellungen zu erzwingen. Die Schwachstelle ist als Mittel eingestuft.

Zu CVE-2026-44927 liegt ein Eintrag im Änderungsprotokoll bzw. Sicherheitsportal von PHP vor. Zur Art und technischen Ausprägung der Schwachstelle enthalten die Quelldaten keine Beschreibung. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die PHP-Sicherheitshinweise prüfen und auf eine bereinigte PHP-Version aktualisieren.

Im PHP-Changelog (php.net) wird für diese Kennung eine Schwachstelle in PHP geführt. Eine detaillierte technische Beschreibung sowie ein CVSS-Basiswert liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: PHP auf eine bereinigte Version aktualisieren.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in routes_nm.php, über die authentifizierte Angreifer durch einen unsanitisierten Parameter beliebiges JavaScript einschleusen können. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In CodeAstro QR Code Attendance Management System 1.0 wurde in der Funktion Save der Datei app/Controllers/UserController.php eine Schwachstelle durch Manipulation des Arguments role festgestellt. CVSS-Basiswert: 6.6 (Mittel).

In Rhymix CMS bis Version 2.1.33 wurde laut NVD eine Schwachstelle in der Funktion procImporterAdminCheckXmlFile der Datei modules/importer/importer.admin.controller.php im Importer-Modul festgestellt. Laut CVSS-Vektor ist die Lücke über das Netzwerk erreichbar, setzt jedoch hohe Rechte voraus; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils gering. CVSS-Basiswert: 4.7 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In SourceCodester Pizzafy Ecommerce System 1.0 wurde in der Datei /admin/index.php eine Sicherheitslücke über das Argument „page” entdeckt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In SourceCodester Pizzafy Ecommerce System 1.0 wurde in der Datei /index.php eine Schwachstelle über das Argument „page” identifiziert, die zu einer File-Inclusion führen kann. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Bottelet DaybydayCRM bis Version 2.2.1 besteht eine Schwachstelle durch unsachgemässe Zugriffskontrolle in der Funktion „view” der Datei „app/Http/Controllers/DocumentsController.php”. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Statamic ist ein auf Laravel und Git basierendes Content-Management-System. In Versionen vor 5.73.24 und 6.20.1 weist laut NVD die URL-Validierung des Glide-Image-Proxys in src/Imaging/RemoteUrlValidator.php und dem zugehörigen Guzzle-Adapter eine Schwachstelle auf. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und hoher Angriffskomplexität ausnutzbar und wirkt sich über eine Vertrauensgrenze hinweg (Scope Changed) begrenzt auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 4.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Statamic 5.73.24 bzw. 6.20.1 oder neuer einspielen.

In NamelessMC 2.2.4 prüft die Datei modules/Forum/pages/forum/get_quotes.php lediglich, ob der Aufrufer eingeloggt ist, und liest danach Posts anhand eines angreiferkontrollierten Parameters. Eine ausreichende Berechtigungsprüfung fehlt.

Open ISES Tickets vor Version 3.44.2 enthält in der Datei wp1.php einen fest einkodierten WhitePages-Reverse-Phone-API-Schlüssel, der in das öffentliche Quellcode-Repository eingecheckt ist. Jeder Akteur mit Lesezugriff auf den Quellbaum kann den Schlüssel extrahieren. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte ausnutzbar und beeinträchtigt die Vertraulichkeit in geringem Umfang. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Open ISES Tickets 3.44.2.

Open ISES Tickets vor Version 3.44.2 bettet in settings.inc.php einen fest codierten Google-Maps-API-Schlüssel ein, der in das öffentliche Quellcode-Repository eingecheckt wird. Der Schlüssel kann von jedem mit Lesezugriff extrahiert werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 3.44.2 oder neuer.

Open ISES Tickets vor Version 3.44.2 bettet in tables.php einen fest codierten Google-Maps-API-Schlüssel ein, der in das öffentliche Quellcode-Repository eingecheckt wird. Der Schlüssel kann von jedem mit Lesezugriff auf den Quellcode ausgelesen werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 3.44.2.

In Grav CMS bis Version 1.7.49.5/2.0.0-beta.1 besteht eine Schwachstelle in der Funktion FileCache::doGet der Datei system/src/Grav/Framework/Cache/Adapter/FileCache.php. Eine Manipulation kann die betroffene Komponente beeintraechtigen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Clearfy Cache schränkt vor Version 2.4.3 die beim Deserialisieren von Settings-Import-Daten zulässigen Klassen nicht ein. Dadurch können Benutzer mit Administratorzugriff eine PHP Object Injection durchführen. CVSS-Basiswert: 4.1 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In mehreren PHP-Jabbers-Skripten wurde laut NVD eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) identifiziert. Da CSRF-Tokens oder passende SameSite-Attribute fehlen, kann ein Angreifer nicht autorisierte Anfragen im Namen eines angemeldeten Nutzers auslösen. CVSS-Basiswert: 6.9 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin Correct Prices ist in Versionen bis einschliesslich 1.0 anfällig für Reflected Cross-Site Scripting über die Servervariable $_SERVER['PHP_SELF']. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb von 1.0, sobald verfügbar.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in do_unit_mail.php. Authentifizierte Angreifer können darüber durch Übergabe eines unsanitisierten Parameters beliebiges JavaScript einschleusen. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in search.php. Laut Quelle können authentifizierte Angreifer dadurch beliebiges JavaScript einschleusen, indem sie einen nicht bereinigten Wert übergeben. CVSS-Basiswert: 4.6 (Mittel) (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in add_note.php. Authentifizierte Angreifer können durch einen nicht bereinigten Übergabewert beliebiges JavaScript einschleusen. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in single.php, über die authentifizierte Angreifer durch einen unsanitisierten Parameter beliebiges JavaScript einschleusen können. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält laut NVD eine Reflected-Cross-Site-Scripting-Schwachstelle in opena.php. Authentifizierte Angreifer können dadurch beliebigen JavaScript-Code einschleusen, indem sie einen unsanitisierten Wert übergeben. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in add_facnote.php, über die authentifizierte Angreifer durch einen unsanitisierten Parameter beliebiges JavaScript einschleusen können. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält laut NVD eine Reflected-Cross-Site-Scripting-Schwachstelle in single_unit.php. Authentifizierte Angreifer können dadurch beliebigen JavaScript-Code einschleusen, indem sie einen unsanitisierten Wert übergeben. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in patient_JF.php. Authentifizierte Angreifer können darüber beliebiges JavaScript einschleusen, indem sie einen unsanitisierten Wert übergeben. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in street_view.php. Authentifizierte Angreifer können durch nicht bereinigte Übergabewerte beliebiges JavaScript einschleusen. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im code-projects Barangay Resident Profiling Management System 1.0 wurde in einer unbekannten Funktion der Datei /archived_records.php (Komponente Restore/Delete) eine Schwachstelle gefunden. CVSS-Basiswert: 6.3 (Mittel). Als betroffene Hersteller sind in den Quelldaten vermerkt: Light Code Labs, PHP.

In SourceCodester Pizzafy Ecommerce System 1.0 wurde eine Schwachstelle in der Funktion save_settings der Datei /admin/admin_class_novo.php festgestellt. Über die Manipulation des Arguments img lässt sich die Verarbeitung beeinflussen. CVSS-Basiswert: 4.7 (Mittel). Zu dieser Schwachstelle liegt kein EPSS-Wert vor. Weitere Details sind der NVD-Quelle zu entnehmen.