A vulnerability has been found in SourceCodester Pharmacy Sales and Inventory System 1.0. Affected by this vulnerability is the function sell_statement of the file application/controllers/ShowForm.php. Such manipulation leads to improper access controls. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
CVE-2026-10255 is a medium-severity improper access control vulnerability in SourceCodester Pharmacy Sales and Inventory System 1.0 affecting the sell_statement function. The vulnerability allows remote attackers to bypass access controls, potentially exposing sensitive pharmacy and patient data. While no patch is currently available and exploit code has been publicly disclosed, the CVSS score of 5.3 indicates moderate risk requiring prompt mitigation.
تم اكتشاف ثغرة في التحكم بالوصول غير الصحيح في نظام مبيعات وإدارة المخزون الصيدلاني من SourceCodester الإصدار 1.0. تؤثر الثغرة على وظيفة sell_statement في ملف application/controllers/ShowForm.php وتسمح بالوصول غير المصرح به إلى بيانات المبيعات والمخزون. يمكن استغلال هذه الثغرة عن بعد وقد تم الكشف عن تفاصيلها للجمهور.
CVE-2026-10255 هي ثغرة متوسطة الخطورة في التحكم بالوصول غير الصحيح في نظام SourceCodester لمبيعات الصيدليات والمخزون الإصدار 1.0 تؤثر على وظيفة sell_statement. تسمح الثغرة للمهاجمين البعيدين بتجاوز عناصر التحكم بالوصول، مما قد يعرض بيانات الصيدلية والمرضى الحساسة للخطر. على الرغم من عدم توفر تصحيح حالياً وتم الكشف عن رمز الاستغلال علناً، فإن درجة CVSS البالغة 5.3 تشير إلى مخاطر معتدلة تتطلب تخفيفاً سريعاً.
Immediate Actions:
1. Audit all instances of SourceCodester Pharmacy Sales and Inventory System 1.0 in your organization and document deployment locations
2. Implement network-level access controls restricting access to the sell_statement function to authorized personnel only
3. Enable comprehensive logging and monitoring of all access attempts to the ShowForm.php controller
4. Review access logs for the past 90 days to identify unauthorized access attempts
Compensating Controls (until patch available):
5. Deploy a Web Application Firewall (WAF) with rules to restrict direct access to application/controllers/ShowForm.php
6. Implement role-based access control (RBAC) at the application level to enforce proper authorization checks
7. Disable remote access to the affected function if not operationally required
8. Segment pharmacy systems from general network access using VLANs or network isolation
Patching & Upgrade:
9. Contact SourceCodester for patch availability timeline
10. Plan immediate upgrade to a patched version once available
11. If upgrade not feasible, consider replacing with alternative pharmacy management systems with proper access controls
Detection Rules:
12. Monitor for HTTP requests to /application/controllers/ShowForm.php with sell_statement parameters
13. Alert on access attempts from non-whitelisted IP addresses
14. Track failed authentication attempts followed by successful access to sensitive functions
الإجراءات الفورية:
1. تدقيق جميع حالات نظام SourceCodester لمبيعات الصيدليات والمخزون الإصدار 1.0 في مؤسستك وتوثيق مواقع النشر
2. تنفيذ عناصر التحكم بالوصول على مستوى الشبكة لتقييد الوصول إلى وظيفة sell_statement للموظفين المصرح لهم فقط
3. تفعيل السجلات الشاملة والمراقبة لجميع محاولات الوصول إلى وحدة التحكم ShowForm.php
4. مراجعة سجلات الوصول لآخر 90 يوماً لتحديد محاولات الوصول غير المصرح بها
عناصر التحكم البديلة (حتى توفر التصحيح):
5. نشر جدار حماية تطبيقات الويب (WAF) مع قواعد لتقييد الوصول المباشر إلى application/controllers/ShowForm.php
6. تنفيذ التحكم بالوصول القائم على الأدوار (RBAC) على مستوى التطبيق لفرض فحوصات التفويض الصحيحة
7. تعطيل الوصول البعيد إلى الوظيفة المتأثرة إذا لم يكن مطلوباً تشغيلياً
8. عزل أنظمة الصيدليات عن الوصول إلى الشبكة العامة باستخدام VLANs أو عزل الشبكة
التصحيح والترقية:
9. اتصل بـ SourceCodester للحصول على الجدول الزمني لتوفر التصحيح
10. خطط للترقية الفورية إلى نسخة مصححة بمجرد توفرها
11. إذا لم تكن الترقية ممكنة، فكر في استبدالها بأنظمة إدارة صيدليات بديلة مع عناصر تحكم وصول مناسبة
قواعد الكشف:
12. مراقبة طلبات HTTP إلى /application/controllers/ShowForm.php مع معاملات sell_statement
13. تنبيه محاولات الوصول من عناوين IP غير المدرجة في القائمة البيضاء
14. تتبع محاولات المصادقة الفاشلة متبوعة بالوصول الناجح إلى الوظائف الحساسة