CVE-2026-7126
CVE-2026-7126 es un漏洞 reportado en el sistema SourceCodester Pharmacy Sales and Inventory System 1.0, que permite a atacantes realizar inyección de SQL mediante la manipulación del parámetro "ID" en la ruta /ajax.php?action=save_category. La vulnerabilidad fue publicada el 27 de abril de 2026, con un puntaje CVSS de 7.3 (ALTO), lo que indica un riesgo significativo para sistemas afectados.
Descripción de la Vulnerabilidad
La vulnerabilidad se origina en el manejo de una variable de entrada en la aplicación SourceCodester Pharmacy Sales and Inventory System 1.0. Cuando un atacante manipula el parámetro "ID" en la solicitud HTTP, puede provocar una inyección SQL, permitiendo a un adversario ejecutar instrucciones arbitrarias en la base de datos del sistema. Este tipo de vulnerabilidades permite ataques remotos y pueden ser explotadas sin necesidad de autenticación.
Sistemas Afectados
El sistema afectado es SourceCodester Pharmacy Sales and Inventory System 1.0, específicamente la ruta /ajax.php?action=save_category. La vulnerabilidad no se limita a versiones específicas del software, lo que sugiere que múltiples instancias podrían estar expuestas si no se aplican parches.
Impacto y Explotabilidad
El vector CVSS asociado a esta vulnerabilidad es:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L.
Esto indica que el ataque puede ser remoto (AV:N), requiere una entrada de baja complejidad (AC:L), no necesita privilegios (PR:N) y afecta a sistemas sin interfaz de usuario (UI:N). La vulnerabilidad permite la lectura, modificación e inserción arbitraria de datos en la base de datos, lo que puede llevar a la pérdida de datos o acceso no autorizado.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación y Parches
La mitigación inmediata es actualizar el sistema a la última versión del SourceCodester Pharmacy Sales and Inventory System, donde se incluya un parche para corregir la vulnerabilidad. Si no es posible aplicar actualizaciones, se recomienda implementar una capa adicional de seguridad, como la validación estricta de entradas y el uso de bibliotecas de seguridad SQL (ej: PDO o prepared statements). Además, se sugiere monitorear el sistema para detectar actividades anómalas en la base de datos.