CVE-2026-71207 in Stock-Inventory-Management-System
要約
〜によって VulDB • 2026年08月05日
Stock-Inventory-Management-System アプリケーションの login.php は、生の $_POST ユーザー名/パスワード値を $_SESSION に割り当て、パラメータ化やエスケープ処理を行わずに、これらのセッション値を SQL ステートメントに直接連結することで認証クエリを構築しています。認証されていないリモート攻撃者は、ログインフォームに ' OR '1'='1 といったペイロードを送信して、認証を完全に回避することができます。また、同様のスクリプトには、ログイン後の条件分岐チェックにおいてハードコードされた管理者資格情報 (admin/neola) が含まれており、これにより第2の独立した完全な認証回避パスが提供されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.