CVE-2026-19355
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W produkcie MingSoft MCMS do wersji 3.0.6 wykryto podatność na wstrzykiwanie SQL w funkcji ModelDataImpl.queryDiyFormData pliku /mdiy/form/data/list.do komponentu ms-mdiy. Manipulacja argumentem formFields umożliwia zdalne wykonanie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Publicznie dostępny exploit zwiększa ryzyko wykorzystania podatności.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie systemu MCMS do najnowszej dostępnej wersji, jeśli taka istnieje. Należy również ograniczyć dostęp do podatnych endpointów i monitorować logi pod kątem podejrzanych zapytań.
Inne podatności w MingSoft MCMS
Zobacz wszystkie- CVE-2026-19357Średnie
W produkcie MingSoft MCMS do wersji 3.0.6 wykryto podatność prowadzącą do ujawnienia informacji w nieznanej funkcji pliku /mdiy/form/get komponentu ms-mdiy. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-19356Średnie
W produkcie MingSoft MCMS do wersji 3.0.6 wykryto podatność prowadzącą do ujawnienia informacji w nieznanej funkcji pliku /mdiy/form/data/list komponentu ms-mdiy. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in MingSoft MCMS up to 3.0.6. This affects the function ModelDataImpl.queryDiyFormData of the file /mdiy/form/data/list.do of the component ms-mdiy. Executing a manipulation of the argument formFields can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.