CVE-2026-18592

ŚrednieCVSS 4.7

Opublikowano: 03/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 03/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Luka w osCommerce 4.14.63493 dotyczy funkcji EmailController w pliku app/lib/backend/controllers/EmailController.php w komponencie Email Template Configuration. Manipulacja argumentem email_templates_key prowadzi do iniekcji SQL. Atak jest możliwy zdalnie, a exploit został opublikowany.

Ocena ryzyka

Ryzyko polega na możliwości wykonania dowolnych zapytań SQL, co może prowadzić do wycieku danych, modyfikacji lub usunięcia bazy danych.

Rekomendacja

Zaleca się natychmiastową aktualizację do wersji łatanej lub zastosowanie tymczasowych zabezpieczeń, takich jak walidacja danych wejściowych.

Inne podatności w osCommerce

CVE-2009-20006Krytyczne
osCommerce w wersjach do 2.2 RC2a włącznie zawiera podatność w narzędziu administracyjnym do zarządzania plikami (admin/file_manager.php). Interfejs pozwala na przesyłanie i edycję plików bez wystarczającej walidacji danych wejściowych i kontroli dostępu, co umożliwia nieuwierzytelnionemu atakującemu przesłanie pliku .php z dowolnym kodem i jego wykonanie.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in osCommerce 4.14.63493. Affected by this issue is the function EmailController of the file app/lib/backend/controllers/EmailController.php of the component Email Template Configuration. Performing a manipulation of the argument email_templates_key results in sql injection. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS