CVE-2026-107803

ŚrednieCVSS 6.5

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

ProcessMaker przed wersją 2026.14.3 jest podatny na wstrzyknięcie SQL w punkcie końcowym `GET /api/1.0/tasks` przez parametr `order_by`. Metoda `applyColumnOrdering()` łączy kontrolowaną przez użytkownika nazwę kolumny `process_requests` w podzapytanie SQL bez walidacji lub wiązania parametrów. Każdy uwierzytelniony użytkownik może użyć ślepych zapytań czasowych do wyodrębnienia danych dostępnych dla konta bazy danych ProcessMaker.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do wrażliwych danych w bazie danych ProcessMaker, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Należy natychmiast zaktualizować ProcessMaker do wersji 2026.14.3 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzyknięcie SQL.

Inne podatności w ProcessMaker

CVE-2022-38577Wysokie
W systemie ProcessMaker przed wersją 3.5.4 wykryto niebezpieczne uprawnienia na stronie profilu użytkownika. Luka ta umożliwia atakującym eskalację zwykłych użytkowników do roli administratora.

Oryginalny opis (angielski, źródło NVD)

ProcessMaker is an open source workflow management software suite. Prior to 2026.14.3, the `GET /api/1.0/tasks` endpoint in ProcessMaker is vulnerable to SQL injection through the order_by parameter because `ProcessMaker\Traits\TaskControllerIndexMethods::applyColumnOrdering()` concatenates a user-controlled process_requests column name into a DB::raw() SQL subquery without validation or parameter binding. Any authenticated user can use blind, time-based queries to infer and extract data accessible to the ProcessMaker database account. This issue is fixed in version 2026.14.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS