CVE-2025-9339

WysokieCVSS 7.1

Opublikowano: 21/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Podatność SQL injection w polach formularza filtrowania dokumentów magazynowych w oprogramowaniu SIMPLE.ERP umożliwia zalogowanemu użytkownikowi wstrzyknięcie złośliwego zapytania. Potencjalne wykorzystanie jest ograniczone limitem 20 znaków w polach formularza. Zidentyfikowany przypadek użycia pozwala na usunięcie tabel o nazwie maksymalnie 6 znaków. Nie znaleziono sposobu na eksfiltrację danych w ramach limitu znaków zapytania. Problem dotyczy SIMPLE.ERP w wersjach przed [email protected].

Ocena ryzyka

Zalogowany użytkownik może manipulować zapytaniami SQL, co może prowadzić do usunięcia tabel lub innych nieautoryzowanych operacji na bazie danych, potencjalnie powodując utratę danych lub zakłócenie działania systemu.

Rekomendacja

Zaktualizuj SIMPLE.ERP do wersji [email protected] lub nowszej. Dodatkowo zastosuj parametryzowane zapytania i walidację danych wejściowych w formularzach.

Inne podatności w SIMPLE.ERP

CVE-2026-1198Wysokie
SIMPLE.ERP zawiera podatność na wstrzykiwanie SQL w funkcji wyszukiwania w oknie "Obroty na kontach". Brak walidacji danych wejściowych pozwala uwierzytelnionemu atakującemu na przygotowanie złośliwego zapytania do bazy danych, które zostanie wykonane. Problem został naprawiony w wersji [email protected]_u06.

Oryginalny opis (angielski, źródło NVD)

SQL injection vulnerability in the fields of warehouse document filtering form in SIMPLE.ERP software allows logged-in user a malicious query injection. Potential exploitation is limited by the 20-character limit in form fields. Identified use case allows to delete tables with a name of maximum 6 characters. We weren't able to identify a way to exfiltrate data within query character limit. This issue affects SIMPLE.ERP in versions before [email protected].

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS