CVE-2026-116602 Recorrido de rutas en SourceCodester Online Food Ordering System
Vulnerabilidad en la función unlink del archivo admin/delete.php de SourceCodester Online Food Ordering System 1.0. Manipular el argumento image_name permite un recorrido de rutas explotable de forma remota; el exploit es público y puede usarse.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 40
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
SourceCodester Online Food Ordering System
1.0
Qué hacer
- Verificá si usás Online Food Ordering System y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L/E:P/RL:X/RC:R
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Confianza del informeRazonable
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 6.5 MEDIA
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L/E:P/RL:X/RC:R
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Confianza del informeRazonable
Descripción original
A vulnerability was detected in SourceCodester Online Food Ordering System 1.0. This issue affects the function unlink of the file admin/delete.php. Performing a manipulation of the argument image_name results in path traversal. The attack is possible to be carried out remotely. The exploit is now public and may be used.
Referencias (6)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.