🟠 CVE-2026-14713: High Schwachstelle

Zusammenfassung

Eine SQL-Injection-Schwachstelle wurde im SourceCodester Pizzafy E-Commerce System Version 1.0
identifiziert. Die Sicherheitslücke ermöglicht es Angreifern, durch Manipulation des ID-Parameters
in der Datei /admin/ajax.php?action=confirm_order arbitrary SQL-Befehle auszuführen. Das
Exploit-Code wurde bereits öffentlich freigegeben, was das Risiko erheblich erhöht.

Betroffene Systeme

Software: SourceCodester Pizzafy E-Commerce System
Version: 1.0
Betriebssysteme: Plattformunabhängig (webbasiert)
Anzahl betroffener Systeme: Verschiedene (unbekannte Ausprägung)

Technische Details

Die Vulnerability befindet sich in der Admin-Schnittstelle unter /admin/ajax.php. Der Parameter
„ID“ in der Aktion „confirm_order“ wird nicht ausreichend validiert oder desinfiziert. Dies
ermöglicht Remote-Attackern, SQL-Injection-Payloads einzuschleusen. Erfolgreiche Exploits können
zur Abfrage, Modifikation oder Löschung von Datenbankbeständen führen.

Angriffsvektor: Network (keine lokale Authentifizierung erforderlich)
Komplexität: Niedrig
CVSS v3.1 Score: 7.3 (High)

Empfohlene Massnahmen

• Sofortmaßnahme: Deaktivieren Sie betroffene Admin-Funktionen oder schränken
  Sie den Zugriff auf /admin/ajax.php ein.
• Input Validation: Implementieren Sie strenge Parameter-Validierung mit
  Whitelist-Ansätzen für die ID-Parameter.
• Prepared Statements: Nutzen Sie parameterisierte Datenbank-Abfragen zur
  Verhinderung von SQL-Injection.
• Web Application Firewall: Aktivieren Sie WAF-Regeln zum Blockieren
  SQL-Injection-Muster.
• Update-Monitoring: Überwachen Sie regelmäßig Sicherheitsupdates des Herstellers.

Bewertung

Mit einem CVSS-Score von 7.3 und veröffentlichtem Exploit-Code besteht hohes Risiko für
produktive Systeme. Die fehlende Verfügbarkeit eines Patches macht eine sofortige Mitigationsstrategie
zwingend erforderlich. Systeme sollten einer kontinuierlichen Überwachung unterzogen werden.