CVE-2023-39560

KrytyczneCVSS 9.8

Opublikowano: 28/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 26/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

4.11%

Percentyl 89 - wyżej niż 89% wszystkich znanych CVE

Streszczenie

W ECTouch v2 wykryto podatność na wstrzykiwanie SQL w pliku insert.php poprzez parametr $arr['id']. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

Ocena ryzyka

Ryzyko obejmuje potencjalny wyciek wrażliwych danych, modyfikację lub usunięcie rekordów w bazie danych oraz możliwość eskalacji uprawnień w systemie.

Rekomendacja

Należy natychmiast zaktualizować ECTouch do najnowszej wersji oraz zastosować parametryzację zapytań SQL lub walidację wejścia dla parametru id.

Oryginalny opis (angielski, źródło NVD)

ECTouch v2 was discovered to contain a SQL injection vulnerability via the $arr['id'] parameter at \default\helpers\insert.php.