CVE-2026-28516
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie SQL w funkcji Config::UpdateParameter. Procedury install.php i container-install.php przekazują dane wejściowe użytkownika bezpośrednio do zapytań SQL bez użycia przygotowanych wyrażeń ani odpowiedniej sanityzacji. Uwierzytelniony użytkownik może wykonać dowolne polecenia SQL na bazie danych.
Ocena ryzyka
Atakujący z dostępem do systemu może odczytać, zmodyfikować lub usunąć dane w bazie, co prowadzi do naruszenia poufności i integralności danych zarządzania infrastrukturą centrum danych.
Rekomendacja
Należy natychmiast zaktualizować openDCIM do wersji zawierającej poprawkę lub zastosować tymczasowe zabezpieczenie poprzez użycie przygotowanych wyrażeń (prepared statements) w funkcji Config::UpdateParameter oraz weryfikację danych wejściowych.
Inne podatności w openDCIM
Zobacz wszystkie- CVE-2026-28517Krytyczne
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku report_network_map.php. Aplikacja pobiera parametr konfiguracyjny 'dot' z bazy danych i przekazuje go bezpośrednio do funkcji exec() bez walidacji lub sanityzacji.
- CVE-2026-28515Wysokie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto brak autoryzacji w plikach install.php i container-install.php. Instalator i procedura aktualizacji udostępniają funkcjonalność konfiguracji LDAP bez wymagania odpowiednich ról aplikacyjnych. Każdy uwierzytelniony użytkownik może uzyskać dostęp do tej funkcji, niezależnie od posiadanych uprawnień.
Oryginalny opis (angielski, źródło NVD)
openDCIM version 23.04, through commit 4467e9c4, contains a SQL injection vulnerability in Config::UpdateParameter. The install.php and container-install.php handlers pass user-supplied input directly into SQL statements using string interpolation without prepared statements or proper input sanitation. An authenticated user can execute arbitrary SQL statements against the underlying database.