CVE-2026-16449
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W ZS-Admin do wersji b52e14536d59fda11e56e2536a1c32e82a38cead, funkcja OrderItem.asc/OrderItem.desc w pliku /api/system/sys/dept/page w komponencie com.zs.sys.dept.controller.SysDeptController jest podatna na wstrzykiwanie SQL poprzez manipulację argumentem orderField. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji lub usunięcia bazy danych.
Rekomendacja
Natychmiast zastosuj dostępne łatki lub tymczasowo wyłącz funkcję sortowania. Sprawdź kod pod kątem innych podatności na wstrzykiwanie SQL.
Inne podatności w ZS-Admin
Zobacz wszystkie- CVE-2026-16451Średnie
Podatność nieograniczonego przesyłania plików w ZS-Admin do wersji b52e145. Nieznana funkcja w pliku /api/system/file/upload w komponencie SysFileController nie ogranicza typu przesyłanego pliku, co umożliwia zdalne przesłanie dowolnego pliku. Exploit jest publiczny.
- CVE-2026-16450Średnie
Podatność w zsadmin2025 ZS-Admin do wersji b52e14536d59fda11e56e2536a1c32e82a38cead. Funkcja getTenantId w pliku /api/system/sys/dept/page komponentu MyBatis-Plus Tenant Plugin pozwala na ominięcie autoryzacji poprzez manipulację argumentem X-Tenant-Id. Atak zdalny, exploit publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in zsadmin2025 ZS-Admin up to b52e14536d59fda11e56e2536a1c32e82a38cead. The impacted element is the function OrderItem.asc/OrderItem.desc of the file /api/system/sys/dept/page of the component com.zs.sys.dept.controller.SysDeptController. This manipulation of the argument orderField causes sql injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.