CVE-2026-6188SourceCodester Pharmacy Sales and Inventory System 1.0版本被发现存在SQL注入漏洞。该漏洞源于/ajax.php?action=delete_sales文件中的未知函数对参数ID处理不当，缺乏有效的过滤。攻击者无需认证即可远程发起攻击，通过构造恶意SQL语句窃取数据库信息、篡改数据或破坏系统可用性，由于攻击门槛低且利用代码已公开，风险较高。
该漏洞的核心问题在于应用程序未对用户提交的`ID`参数实施安全编码规范。在`/ajax.php?action=delete_sales`的处理逻辑中，后端代码直接将外部可控的`ID`值嵌入到SQL命令字符串中传递给数据库解释器执行。由于缺乏预编译语句或输入过滤机制，攻击者可以通过在`ID`字段中插入SQL元字符（如单引号、注释符）和控制语法（如`UNION SELECT`），改变原始查询的语义。鉴于该漏洞无需认证即可利用（PR:N），攻击者可通过自动化工具轻易批量扫描受影响系统。成功的利用可能导致数据库中的敏感销售记录、用户信息被窃取，关键数据被篡改，甚至通过耗尽数据库资源导致服务拒绝。