CVE-2026-18210
KrytyczneCVSS 9.8Streszczenie
Podatność polegająca na niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL (wstrzykiwanie SQL) w Products's Store firmy TRtek. Umożliwia wstrzyknięcie SQL. Problem dotyczy wersji przed 030631b2.
Ocena ryzyka
Atakujący może manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację Products's Store do wersji 030631b2 lub nowszej oraz stosowanie sparametryzowanych zapytań.
Powiązane podatności
- CVE-2026-79687Krytyczne
Dell PowerStore SDNAS zawiera podatność braku uwierzytelnienia dla krytycznej funkcji. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, prowadząc do dostępu do systemu plików.
- CVE-2026-18931Krytyczne
Podatność użycia twardo zakodowanych poświadczeń w oprogramowaniu Talassoft Industrial Management Software. Umożliwia ona odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od V.4 przed V.16.
- CVE-2026-78012Krytyczne
Problem w stosie NetStaX EtherNet/IP przed wersją v5.6.1 może pozwolić na przekroczenie bufora odbiorczego po stronie aplikacji przez duże żądanie klasy 3, bez generowania błędu lub ostrzeżenia. Może to prowadzić do uszkodzenia pamięci, awarii urządzenia lub potencjalnego zdalnego ataku.
- CVE-2026-9621Krytyczne
Problem bezpieczeństwa polegający na odmowie usługi w RSLinx Classic. Nieprawidłowe obsłużenie uszkodzonego pakietu CIP może spowodować awarię usługi RSLinx Classic, wymagającą jej ponownego uruchomienia.
- CVE-2026-18808Krytyczne
Podatność polegająca na niewłaściwej kontroli generowania kodu (wstrzykiwanie kodu) w KIO (Klemsan Internet Objects). Umożliwia wstrzyknięcie kodu. Problem dotyczy wersji przed v1.9.
- CVE-2026-84149Krytyczne
Podatność w systemie ERP spowodowana ujawnieniem informacji o repozytorium poprzez publicznie dostępny katalog .git. Nieuwierzytelniony atakujący może uzyskać metadane repozytorium i powiązane pliki, co może umożliwić rekonstrukcję kodu źródłowego aplikacji.
- CVE-2026-84148Krytyczne
Podatność w systemie ERP spowodowana niewłaściwą kontrolą uwierzytelniania i autoryzacji w punkcie końcowym API. Nieuwierzytelniony atakujący może manipulować parametrami, co prowadzi do ujawnienia wrażliwych informacji innych użytkowników.
- CVE-2026-84147Krytyczne
Podatność w systemie ERP spowodowana niewłaściwą kontrolą uwierzytelniania i nieodpowiednią walidacją typów plików w punkcie końcowym API. Nieuwierzytelniony atakujący może przesyłać dowolne pliki do katalogu dostępnego z sieci, co może umożliwić wykonanie dowolnego kodu i naruszenie systemu.
- CVE-2026-84121Krytyczne
Podatność umożliwiająca ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie DOM: Security. Luka została naprawiona w przeglądarce Firefox 155 oraz w wersjach ESR 115.40, 140.15 i 153.2.
- CVE-2026-84119Krytyczne
Podatność umożliwiająca ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie DOM: Navigation. Luka została naprawiona w przeglądarce Firefox 155 oraz w wersjach ESR 115.40, 140.15 i 153.2.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in TRtek Technological Products Computer Software Hardware Industry and Trade Limited Company Products's Store allows SQL Injection. This issue affects Products's Store: before 030631b2.