¿Qué es y cómo funciona la falla?
Se ha descubierto una vulnerabilidad de inyección SQL en SourceCodester Food Ordering System 1.0, específicamente en el archivo admin/add_category.php del componente Admin Write Handler. Al manipular los argumentos title, description, price, current_image, featured, active o id, un atacante puede ejecutar código SQL arbitrario de forma remota.
Productos y versiones afectadas
La vulnerabilidad afecta exclusivamente a SourceCodester Food Ordering System 1.0.
Impacto real
Con un CVSS de 7.3 (alto), esta falla permite acceso no autorizado a la base de datos, potencialmente comprometiendo información sensible del sistema de pedidos de comida.
Explotación y probabilidad
El exploit ya ha sido liberado públicamente y podría estar siendo utilizado en ataques. Sin embargo, según EPSS, existe solo un 0.3% de probabilidad (percentil 18%) de explotación real en los próximos 30 días. Shodan no reporta hosts expuestos actualmente indexados con esta vulnerabilidad.
¿Qué hacer?
Los administradores de sistemas que utilicen SourceCodester Food Ordering System 1.0 deben aplicar parches o actualizaciones proporcionadas por el proveedor inmediatamente, ya que la técnica de explotación T1190 – Exploit Public-Facing Application está asociada a esta vulnerabilidad.
| CVE | CVE-2026-127284 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| EPSS | 0.3% en 30 días (percentil 18) |
| CWE | CWE-74, CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.