CVE-2026-100899
ŚrednieCVSS 6.3Streszczenie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/MonthlyReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.
Ocena ryzyka
Wstrzyknięcie SQL może umożliwić atakującemu nieautoryzowany dostęp do bazy danych, kradzież danych lub ich modyfikację.
Rekomendacja
Zalecane jest zaktualizowanie oprogramowania do najnowszej wersji, jeśli dostępna, oraz zastosowanie walidacji danych wejściowych.
Inne podatności w DevaslanPHP project-management
Zobacz wszystkie- CVE-2026-100900Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja updateJiraProjects w pliku /jira-import komponentu Jira Import prowadzi do podrobienia żądania po stronie serwera (SSRF) poprzez manipulację argumentami host/username/token. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.
- CVE-2026-100898Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/ActivitiesReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit jest publiczny.
- CVE-2026-10285Średnie
W DevaslanPHP project-management do wersji 2.0.0-beta1 wykryto podatność na nieprawidłową autoryzację w funkcji KanbanScrumHelper::recordUpdated w pliku app/Helpers/KanbanScrumHelper.php. Atak może być przeprowadzony zdalnie. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10284Średnie
W DevaslanPHP project-management do wersji 2.0.0-beta1 wykryto podatność na nieprawidłową autoryzację w funkcjach editComment/doDeleteComment w pliku app/Filament/Resources/TicketResource/Pages/ViewTicket.php. Atak może być przeprowadzony zdalnie. Projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in DevaslanPHP project-management 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1. This impacts the function whereRaw of the file app/Filament/Widgets/Timesheet/MonthlyReport.php of the component Timesheet Dashboard. Executing a manipulation of the argument filter can lead to sql injection. The attack may be performed from remote. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS