CVE-2026-15478

ŚrednieCVSS 6.3

Opublikowano: 12/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W IceHRM do wersji 35.0.1 wykryto podatność na iniekcję SQL w pliku EmployeeAttendanceReport.php. Atakujący może zdalnie manipulować argumentem employeeList, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany i może być wykorzystany.

Ocena ryzyka

Organizacja narażona jest na wyciek lub modyfikację danych w bazie, co może skutkować naruszeniem poufności i integralności informacji. Atak zdalny bez uwierzytelnienia zwiększa ryzyko szybkiego wykorzystania podatności.

Rekomendacja

Należy natychmiast zaktualizować IceHRM do najnowszej wersji lub zastosować tymczasowe zabezpieczenia, takie jak walidacja wejścia i parametryzacja zapytań SQL. Monitoruj system pod kątem prób eksploatacji.

Inne podatności w IceHRM

CVE-2026-91770Średnie
IceHRM przed wersją 36.0.0 nie weryfikuje własności pracownika w siedmiu punktach końcowych REST, co pozwala uwierzytelnionym pracownikom odczytywać dane HR dowolnego kolegi. Atakujący mogą podstawiać dowolne identyfikatory pracowników w punktach końcowych umiejętności, edukacji, certyfikatów, języków, urlopów, obecności i statusu, aby uzyskać dostęp do wrażliwych danych osobowych.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in IceHRM up to 35.0.1. This impacts an unknown function of the file core/src/Reports/User/Reports/EmployeeAttendanceReport.php of the component UserReport Endpoint. Executing a manipulation of the argument employeeList can lead to sql injection. The attack can be launched remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS