CVE-2026-113381
WysokieCVSS 7.3Streszczenie
W Osclass do wersji 8.3.1 zidentyfikowano słabość w funkcji Item::findUserItems w pliku oc-includes/osclass/model/Item.php komponentu Item Model Handler. Manipulacja argumentem sPattern powoduje wstrzyknięcie SQL. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może wykorzystać publicznie dostępny exploit do wstrzyknięcia SQL i odczytu lub modyfikacji danych w bazie.
Rekomendacja
Ogranicz dostęp do aplikacji, wdróż poprawki lub obejścia (walidacja parametru sPattern) i monitoruj próby wykorzystania podatności.
Inne podatności w Osclass
Zobacz wszystkie- CVE-2014-8084Wysokie
W podatności CVE-2014-8084 w OSClass przed wersją 3.4.3 występuje luka w zabezpieczeniach związana z przechodzeniem przez katalogi, która pozwala zdalnym atakującym na dołączenie i wykonanie dowolnych lokalnych plików.
- CVE-2014-8083Wysokie
Podatność na wstrzykiwanie SQL w metodzie Search::setJsonAlert w OSClass przed wersją 3.4.3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr alert w akcji subskrypcji powiadomień o wyszukiwaniach.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Osclass up to 8.3.1. Affected by this vulnerability is the function Item::findUserItems of the file oc-includes/osclass/model/Item.php of the component Item Model Handler. This manipulation of the argument sPattern causes sql injection. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS