CVE-2026-108100
ŚrednieCVSS 6.5Streszczenie
HortusFox (hortusfox-web) przed wersją 6.2 zawiera podatność na wstrzykiwanie SQL, która pozwala posiadaczom tokenów API na wstrzykiwanie SQL poprzez dostarczenie spreparowanych wartości include_info do punktu końcowego /api/locations/list. Atakujący mogą umieścić podzapytania w include_info, które PlantsModel::getSpecificInfo() konkatenuje do listy kolumn, aby odczytać dowolną tabelę bazy danych, w tym hasła użytkowników.
Ocena ryzyka
Podatność umożliwia odczyt wrażliwych danych, w tym haseł użytkowników, co może prowadzić do naruszenia poufności i integralności danych. Wymaga posiadania tokena API, ale może być wykorzystana przez wewnętrznych lub skompromitowanych użytkowników.
Rekomendacja
Zaktualizuj HortusFox do wersji 6.2 lub nowszej. Przeprowadź audyt istniejących tokenów API i rozważ ich rotację.
Inne podatności w HortusFox
Zobacz wszystkie- CVE-2026-108101Wysokie
HortusFox (hortusfox-web) do wersji 6.3 zawiera podatność nieograniczonego przesyłania plików w PlantAttachmentModel, która pozwala uwierzytelnionym użytkownikom przechowywać pliki z rozszerzeniami dostarczonymi przez klienta w public/attachments/. Atakujący mogą przesyłać pliki HTML lub SVG przez /plants/attachments/add w celu przechowywanego cross-site scripting lub pliki PHP, gdy .htaccess nie jest egzekwowany, w celu wykonania kodu.
- CVE-2026-104069Wysokie
HortusFox przed wersją 6.2 zawiera podatność na zdalne wykonanie kodu w metodzie ThemeModule::startImport(), gdzie przesłane archiwum ZIP jest rozpakowywane bezpośrednio do publicznego katalogu głównego serwera WWW przed jakąkolwiek walidacją nazw plików, rozszerzeń lub zawartości. Uwierzytelniony administrator może przesłać spreparowane archiwum motywu zawierające plik PHP i plik .htaccess, aby ponownie włączyć wykonywanie, a następnie zażądać go w katalogu motywów, co pozwala na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW.
- CVE-2026-72559Średnie
Podatność na trwały atak XSS w HortusFox 5.9 pozwala uwierzytelnionym członkom przestrzeni roboczej na wstrzyknięcie trwałego JavaScriptu do notatek roślin przez Parsedown renderowany bez trybu bezpiecznego. Notatki są renderowane bez escapowania w przeglądarce każdego użytkownika, który widzi daną roślinę. Atakujący może ukraść ciasteczka sesji lub wykonywać działania w kontekście innych użytkowników, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
HortusFox (hortusfox-web) before 6.2 contains an SQL injection vulnerability that allows API token holders to inject SQL by supplying crafted include_info values to the /api/locations/list endpoint. Attackers can place subqueries in include_info, which PlantsModel::getSpecificInfo() concatenates into the column list, to read any database table including user password hashes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS