CVE-2025-22652
WysokieStreszczenie
W podatności CVE-2025-22652 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w formularzach płatności kendysond dla Paystack. Problem dotyczy wersji formularzy płatności dla Paystack od n/a do 4.0.1 włącznie.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzykiwania złośliwych zapytań SQL, co może prowadzić do nieautoryzowanego dostępu do danych w bazie danych. Może to skutkować utratą poufności danych oraz naruszeniem integralności systemu.
Rekomendacja
Zaleca się aktualizację formularzy płatności dla Paystack do najnowszej wersji, aby usunąć tę podatność. Dodatkowo warto wdrożyć mechanizmy zabezpieczające przed SQL Injection, takie jak stosowanie parametrów w zapytaniach SQL.
Powiązane podatności
- CVE-2026-102425Krytyczne
W rozszerzeniu Joomla Balbooa Forms w wersjach poniżej 2.4.3.4 występuje zdalne wykonanie kodu (RCE) bez uwierzytelnienia poprzez wstrzyknięcie shortcode pola. Komponent obsługuje kod PHP zdefiniowany przez administratora, uruchamiany po publicznym wysłaniu formularza, i przed wywołaniem eval() zastępuje shortcody surowymi wartościami przesłanymi przez odwiedzającego. Aby wykorzystać podatność, publiczny formularz musi używać opcjonalnej akcji PHP po wysłaniu i interpolować shortcode kontrolowany przez atakującego w ciągu PHP w podwójnych cudzysłowach.
- CVE-2023-54400Krytyczne
Fumasoft Fumeng Cloud zawiera podatność na wstrzyknięcie SQL w punkcie końcowym AjaxMethod.ashx, która pozwala nieuwierzytelnionym zdalnym atakującym wstrzyknąć dowolny kod SQL przez parametr Name akcji getEmpByname bez żadnego uwierzytelnienia. Atakujący mogą wykorzystać techniki UNION-based SQL injection przeciwko backendowi Microsoft SQL Server do wyodrębnienia, ujawnienia i modyfikacji zawartości bazy danych, z możliwością dalszego przejęcia serwera. Dowody wykorzystania zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation 2023-10-18.
- CVE-2026-22094Krytyczne
Firmware urządzenia EVbee DC-80 zawiera słabe, zaszyte na stałe hasło roota, co pozwala atakującym zalogować się jako root przez demon SSH wystawiony do sieci. Podatność umożliwia pełne przejęcie urządzenia przez każdego, kto ma dostęp sieciowy do portu SSH.
- CVE-2026-82973Krytyczne
Nieprawidłowa neutralizacja sekwencji CRLF podczas konstruowania poleceń IMAP w psyb0t/docker-mailbox przed wersją 0.4.13 pozwala zdalnemu nieuwierzytelnionemu atakującemu, gdy uwierzytelnianie tokenem bearer nie jest skonfigurowane, wstrzyknąć dodatkowe polecenia IMAP do uwierzytelnionego połączenia ze skrzynką nadrzędną poprzez spreparowane wartości folderu, UID lub wyszukiwania.
- CVE-2026-7192Krytyczne
Podatność polegająca na przepełnieniu bufora na stosie w routerze Dbit T-CPE301K 4G WiFi mini pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) i restart systemu poprzez spreparowane żądanie HTTP POST skierowane do punktu końcowego '/js/common/do_cmd.js' z nadmiernie długim parametrem, który nadpisuje rejestry PC i RA.
- CVE-2026-100819Krytyczne
Podatność polegająca na ucieczce z piaskownicy (sandbox escape) wynikająca z nieprawidłowych warunków brzegowych w komponencie XPCOM. Podatność została naprawiona w wersjach Firefox ESR 153.4, Firefox 157, Firefox ESR 115.42 oraz Firefox ESR 140.17.
- CVE-2026-100818Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie Widget: Gtk. Została naprawiona w Firefox ESR 153.4, Firefox 157 i Firefox ESR 140.17.
- CVE-2026-100811Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie DOM: Core & HTML. Została naprawiona w Firefox ESR 153.4, Firefox 157 i Firefox ESR 140.17.
- CVE-2026-100804Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie Preferences: Backend. Została naprawiona w Firefox 157.
- CVE-2026-100800Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie Disability Access APIs. Została naprawiona w Firefox ESR 153.4 i Firefox 157.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in kendysond Payment Forms for Paystack payment-forms-for-paystack allows SQL Injection.This issue affects Payment Forms for Paystack: from n/a through <= 4.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS