CVE-2021-48008
WysokieCVSS 7.5Streszczenie
Chanjet CRM zawiera nieuwierzytelnioną podatność SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez manipulację parametrem site_id w punkcie końcowym webservice. Atakujący mogą wykorzystać brak sanityzacji danych wejściowych, stosując techniki UNION, aby wyodrębnić wrażliwe dane z bazy.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych w bazie, co może prowadzić do naruszenia poufności i integralności informacji.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta oraz wdróż parametryzację zapytań SQL i walidację danych wejściowych.
Inne podatności w Chanjet CRM
Zobacz wszystkie- CVE-2026-84111Wysokie
W Chanjet CRM do wersji 20260707 stwierdzono podatność w pliku jxf_dump_table.php. Manipulacja argumentem gblOrgID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-11456Wysokie
W systemie Chanjet CRM 1.0 stwierdzono podatność na iniekcję SQL w pliku /tools/jxf_dump_systable.php poprzez manipulację argumentem gblOrgID w komponencie HTTP GET Request Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Chanjet CRM contains an unauthenticated SQL injection vulnerability that allows remote attackers to execute arbitrary SQL queries by manipulating the site_id GET parameter in the webservice endpoint. Attackers can exploit the lack of input sanitization or parameterization through UNION-based injection techniques to extract sensitive data from the underlying database. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.