CVE-2026-55740

Nome do Software Vulnerável e Versões Afetadas Nur-Alam39 bus-ticket (versões afetadas não especificadas)

Description Uma injeção de SQL não autenticada existe no endpoint 'bus info.php'. O parâmetro busid, recebido via HTTP POST, é concatenado diretamente em uma consulta MySQL sem sanitização, escape ou parametrização. Isso permite que um invasor remoto injete SQL arbitrário, como payloads baseados em UNION, para ler dados do banco de dados bus service. O impacto é ampliado pois a aplicação se conecta ao banco de dados usando a conta root do MySQL com uma senha vazia. A consulta é executada através da função mysqli query(), que não suporta instruções empilhadas.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.